Veelgestelde vragen over Network Watcher (FAQ)

Network Watcher biedt een reeks hulpprogramma's voor het bewaken, diagnosticeren, weergeven van metrische gegevens en het in- of uitschakelen van logboeken voor IaaS-resources (Infrastructure-as-a-Service), waaronder virtuele machines, virtuele netwerken, toepassingsgateways, load balancers en andere resources in een virtueel Azure-netwerk. Het is geen oplossing voor het bewaken van de PaaS-infrastructuur (Platform-as-a-Service) of het verkrijgen van web-/mobiele analyses.

Network Watcher biedt drie belangrijke sets mogelijkheden:

• Monitoring
  • In de topologieweergave ziet u de resources in uw virtuele netwerk en de relaties ertussen.
  • Met verbindingsmonitor kunt u connectiviteit en latentie tussen eindpunten binnen en buiten Azure bewaken.
• Diagnostische hulpprogramma's voor netwerken
  • Met IP-stroomverificatie kunt u problemen met het filteren van verkeer op het niveau van een virtuele machine detecteren.
  • Met NSG-diagnostische gegevens kunt u problemen met het filteren van verkeer detecteren op het niveau van een virtuele machine, virtuele-machineschaalset of toepassingsgateway.
  • Volgende hop helpt u bij het controleren van verkeersroutes en het detecteren van routeringsproblemen.
  • Problemen met verbindingen maken een eenmalige connectiviteit en latentiecontrole mogelijk tussen een virtuele machine en bastionhost, toepassingsgateway of een andere virtuele machine.
  • Met pakketopname kunt u verkeer van uw virtuele machine vastleggen.
  • Vpn-probleemoplossing voert meerdere diagnostische controles uit op uw VPN-gateways en -verbindingen om problemen op te lossen.
• Verkeer
  • Met stroomlogboeken voor netwerkbeveiligingsgroepen en stroomlogboeken voor virtuele netwerken kunt u netwerkverkeer registreren dat wordt doorgegeven via respectievelijk uw netwerkbeveiligingsgroepen (NSG's) en virtuele netwerken.
  • Verkeersanalyse verwerkt de logboekgegevens van uw netwerkbeveiligingsgroep, zodat u uw netwerkverkeer kunt visualiseren, opvragen, analyseren en begrijpen.

Zie Network Watcher-overzicht voor meer informatie.

Zie de prijzen van Network Watcher voor prijsinformatie over verschillende Network Watcher-onderdelen.

Zie Network Watcher-regio's voor meer informatie over de regio's die Ondersteuning bieden voor Network Watcher.

Zie Azure RBAC-machtigingen die zijn vereist voor het gebruik van Network Watcher voor een gedetailleerde lijst met vereiste machtigingen voor elk van de mogelijkheden van Network Watcher.

De Network Watcher-service wordt automatisch ingeschakeld voor elk abonnement. U moet Network Watcher handmatig inschakelen als u automatische activering van Network Watcher hebt uitgeschakeld. Zie Azure Network Watcher in- of uitschakelen voor meer informatie.

De bovenliggende network Watcher-resource wordt geïmplementeerd met een uniek exemplaar in elke regio. Standaardnaamgevingsindeling: NetworkWatcher_RegionName. Voorbeeld: NetworkWatcher_centralus is de Network Watcher-resource voor de regio VS - centraal. U kunt de naam van het Network Watcher-exemplaar aanpassen met behulp van PowerShell of REST API.

Network Watcher hoeft slechts één keer per regio per abonnement te worden ingeschakeld, zodat de functies ervan werken. Network Watcher is ingeschakeld in een regio door een Network Watcher-exemplaar in die regio te maken.

De Network Watcher-resource vertegenwoordigt de back-endservice voor Network Watcher, die volledig wordt beheerd door Azure. U kunt echter de Network Watcher-resource maken of verwijderen om deze in of uit te schakelen in een bepaalde regio. Zie Azure Network Watcher in- of uitschakelen voor meer informatie.

Nee, het verplaatsen van Een Network Watcher-resource of een van de onderliggende resources in verschillende regio's wordt niet ondersteund. Zie Ondersteuning voor verplaatsingsbewerkingen voor netwerkresources voor meer informatie.

Ja, het verplaatsen van Network Watcher-resource tussen resourcegroepen wordt ondersteund. Zie Ondersteuning voor verplaatsingsbewerkingen voor netwerkresources voor meer informatie.

NetworkWatcherRG is een resourcegroep die automatisch wordt gemaakt voor Network Watcher-resources. Bijvoorbeeld: regionale instanties van Network Watcher en de stroomlogboekresources voor de netwerkbeveiligingsgroep worden gemaakt in de resourcegroep NetworkWatcherRG . U kunt de naam van de Network Watcher-resourcegroep aanpassen met behulp van PowerShell, Azure CLI of REST API.

Azure Network Watcher slaat geen klantgegevens op, met uitzondering van de verbindingsmonitor. De verbindingsmonitor slaat klantgegevens op, die automatisch door Network Watcher in één regio worden opgeslagen om te voldoen aan de vereisten voor gegevenslocatie in de regio.

Network Watcher heeft de volgende limieten:

Ja, de Network Watcher-service is standaard zonetolerant.

Er is geen configuratie nodig om zonetolerantie in te schakelen. Zonetolerantie voor Network Watcher-resources is standaard beschikbaar en wordt beheerd door de service zelf.

De Network Watcher-agent is vereist voor elke Network Watcher-functie waarmee verkeer van een virtuele machine wordt gegenereerd of onderschept.

Voor de functies pakketopname, verbindingsproblemen en verbindingsmonitorfuncties moet de Network Watcher-extensie aanwezig zijn.

De nieuwste versie van de Network Watcher-extensie is 1.4.3422.1. Zie Azure Network Watcher-extensie bijwerken naar de nieuwste versie voor meer informatie.

• Linux: de Network Watcher-agent gebruikt beschikbare poorten die beginnen totdat port 50000 deze bereikt port 65535.
• Windows: de Network Watcher-agent gebruikt de poorten waarmee het besturingssysteem reageert wanneer er een query wordt uitgevoerd op beschikbare poorten.

De Network Watcher-agent vereist uitgaande TCP-connectiviteit naar 169.254.169.254 over port 80 en 168.63.129.16 over port 8037. De agent gebruikt deze IP-adressen om te communiceren met het Azure-platform.

Nee, verbindingsmonitor biedt geen ondersteuning voor klassieke VM's. Zie IaaS-resources migreren van klassiek naar Azure Resource Manager voor meer informatie.

Topologie kan alleen worden ingericht van niet-Azure naar Azure als de doelresource van Azure en de verbindingsmonitorresource zich in dezelfde regio bevinden.

Dezelfde Virtuele Azure-machine kan niet worden gebruikt met verschillende configuraties in dezelfde verbindingsmonitor. Het gebruik van dezelfde VIRTUELE machine met een filter en zonder filter in dezelfde verbindingsmonitor wordt bijvoorbeeld niet ondersteund.

Problemen die worden weergegeven op het dashboard van de verbindingsmonitor, worden gevonden tijdens de topologiedetectie of hopverkenning. Er kunnen gevallen zijn waarbij de drempelwaarde voor % verlies of RTT wordt bereikt, maar er geen problemen worden gevonden bij hops.

Er is geen optie voor protocolselectie in verbindingsmonitor (klassiek). Tests in verbindingsmonitor (klassiek) gebruiken alleen het TCP-protocol en daarom maken we tijdens de migratie een TCP-configuratie in tests in de nieuwe verbindingsmonitor.

Er is momenteel een regionale grens wanneer een eindpunt gebruikmaakt van Azure Monitor- en Arc-agents met de bijbehorende Log Analytics-werkruimte. Als gevolg van deze beperking moet de gekoppelde Log Analytics-werkruimte zich in dezelfde regio bevinden als het Arc-eindpunt. Gegevens die zijn opgenomen in afzonderlijke werkruimten, kunnen worden samengevoegd voor één weergave. Bekijk querygegevens in Log Analytics-werkruimten, -toepassingen en -resources in Azure Monitor.

Met stroomlogboeken kunt u gegevens van 5 tuple-stromen vastleggen over uw Azure IP-verkeer dat via een netwerkbeveiligingsgroep of een virtueel Azure-netwerk wordt doorgegeven. De onbewerkte stroomlogboeken worden geschreven naar een Azure-opslagaccount. Van daaruit kunt u ze naar behoefte verder verwerken, analyseren, opvragen of exporteren.

Stroomlogboekgegevens worden verzameld buiten het pad van uw netwerkverkeer, zodat dit geen invloed heeft op de netwerkdoorvoer of latentie. U kunt stroomlogboeken maken of verwijderen zonder dat dit van invloed is op de netwerkprestaties.

Stroomlogboeken voor netwerkbeveiligingsgroepen registreren logboekverkeer dat via een netwerkbeveiligingsgroep stroomt. Aan de andere kant retourneert NSG-diagnose alle netwerkbeveiligingsgroepen die uw verkeer doorkruist en de regels van elke netwerkbeveiligingsgroep die op dit verkeer worden toegepast. Gebruik NSG-diagnostische gegevens om te controleren of de regels voor uw netwerkbeveiligingsgroep worden toegepast zoals verwacht.

Nee, stroomlogboeken voor netwerkbeveiligingsgroepen bieden geen ondersteuning voor ESP- en AH-protocollen.

Nee, stroomlogboeken voor netwerkbeveiligingsgroepen en stroomlogboeken voor virtuele netwerken ondersteunen geen ICMP-protocol.

Ja. De gekoppelde stroomlogboekresource wordt ook verwijderd. Stroomlogboekgegevens worden bewaard in het opslagaccount voor de bewaarperiode die is geconfigureerd in het stroomlogboek.

Ja, maar u moet de bijbehorende stroomlogboekresource verwijderen. Nadat u de netwerkbeveiligingsgroep hebt gemigreerd, kunt u de stroomlogboeken opnieuw maken om logboekregistratie van stromen in te schakelen.

Ja, u kunt een opslagaccount van een ander abonnement gebruiken zolang dit abonnement zich in dezelfde regio van de netwerkbeveiligingsgroep bevindt en is gekoppeld aan dezelfde Microsoft Entra-tenant van de netwerkbeveiligingsgroep of het abonnement van het virtuele netwerk.

Als u een opslagaccount achter een firewall wilt gebruiken, moet u een uitzondering opgeven voor Vertrouwde Microsoft-services voor toegang tot uw opslagaccount:

1. Ga naar het opslagaccount door de naam van het opslagaccount in te voeren in het zoekvak boven aan de portal.
2. Selecteer Netwerken onder Beveiliging en netwerken en selecteer vervolgens Firewalls en virtuele netwerken.
3. Selecteer ingeschakeld in openbare netwerktoegang in geselecteerde virtuele netwerken en IP-adressen. Schakel vervolgens onder Uitzonderingen het selectievakje in naast Azure-services toestaan in de lijst met vertrouwde services om toegang te krijgen tot dit opslagaccount.
4. Schakel stroomlogboeken voor netwerkbeveiligingsgroepen in door een stroomlogboek te maken voor uw doelnetwerkbeveiligingsgroep met behulp van het opslagaccount. Zie Een stroomlogboek maken voor meer informatie.

U kunt de opslaglogboeken na enkele minuten controleren. U ziet nu een bijgewerkte TimeStamp of een nieuw JSON-bestand dat is gemaakt.

Network Watcher heeft een ingebouwd terugvalmechanisme dat wordt gebruikt bij het maken van verbinding met een opslagaccount achter een firewall (firewall ingeschakeld). Er wordt geprobeerd verbinding te maken met het opslagaccount met behulp van een sleutel en als dat mislukt, wordt overgeschakeld naar een token. In dit geval wordt een 403-fout vastgelegd in het activiteitenlogboek van het opslagaccount.

Ja, Network Watcher ondersteunt het verzenden van stroomgegevens van netwerkbeveiligingsgroepen naar een opslagaccount dat is ingeschakeld met een privé-eindpunt.

Stroomlogboeken voor netwerkbeveiligingsgroepen zijn compatibel met service-eindpunten zonder extra configuratie. Zie Een service-eindpunt inschakelen voor meer informatie.

Stroomlogboeken versie 2 introduceert het concept van stroomstatus en slaat informatie op over bytes en pakketten die worden verzonden. Zie voor meer informatie de stroomlogboekindeling van de netwerkbeveiligingsgroep.

Nee, een alleen-lezenvergrendeling voor een netwerkbeveiligingsgroep voorkomt het maken van het bijbehorende stroomlogboek voor netwerkbeveiligingsgroepen.

Ja, een vergrendeling die niet kan worden verwijderd voor de netwerkbeveiligingsgroep, voorkomt niet dat het bijbehorende stroomlogboek van de netwerkbeveiligingsgroep wordt gemaakt of gewijzigd.

Ja, u kunt stroomlogboeken voor netwerkbeveiligingsgroepen automatiseren via ARM-sjablonen (Azure Resource Manager). Zie NSG-stroomlogboeken configureren met behulp van een ARM-sjabloon (Azure Resource Manager) voor meer informatie.