Gestire le acquisizioni di pacchetti per le macchine virtuali con Azure Network Watcher usando PowerShell

Lo strumento di acquisizione pacchetti network Watcher consente di creare sessioni di acquisizione per registrare il traffico di rete da e verso una macchina virtuale di Azure. Vengono forniti filtri per la sessione di acquisizione per assicurarsi di acquisire solo il traffico desiderato. L'acquisizione di pacchetti consente di diagnosticare le anomalie di rete in modo reattivo e proattivo. Le applicazioni si estendono oltre il rilevamento anomalie per includere la raccolta di statistiche di rete, l'acquisizione di informazioni dettagliate sulle intrusioni di rete, il debug delle comunicazioni client-server e la risoluzione di varie altre problematiche di rete. L'acquisizione di pacchetti network Watcher consente di avviare acquisizioni di pacchetti in modalità remota, riducendo la necessità di eseguire manualmente in una macchina virtuale specifica.

Questo articolo illustra come configurare, avviare, arrestare, scaricare ed eliminare in remoto un'acquisizione di pacchetti di macchine virtuali usando Azure PowerShell. Per informazioni su come gestire le acquisizioni di pacchetti usando il portale di Azure o l'interfaccia della riga di comando di Azure, vedere Gestire le acquisizioni di pacchetti per le macchine virtuali usando la portale di Azure o Gestire le acquisizioni di pacchetti per le macchine virtuali tramite l'interfaccia della riga di comando di Azure.

Prerequisiti

• Un account Azure con una sottoscrizione attiva. Creare un account gratuitamente.

• Azure Cloud Shell o Azure PowerShell.

  I passaggi descritti in questo articolo eseguono i cmdlet di Azure PowerShell in modo interattivo in Azure Cloud Shell. Per eseguire i comandi in Cloud Shell, selezionare Apri Cloud Shell nell'angolo superiore destro di un blocco di codice. Selezionare Copia per copiare il codice e incollarlo in Cloud Shell per eseguirlo. È anche possibile eseguire Cloud Shell dal portale di Azure.

  È anche possibile installare Azure PowerShell in locale per eseguire i cmdlet. Questo articolo richiede il modulo Az PowerShell. Per altre informazioni, vedere Come installare Azure PowerShell. Per trovare la versione installata, eseguire Get-InstalledModule -Name Az. Se si esegue PowerShell in locale, accedere ad Azure usando il cmdlet Connessione-AzAccount.

• Una macchina virtuale con la connettività TCP in uscita seguente:

  • all'account di archiviazione sulla porta 443
  • a 169.254.169.254 sulla porta 80
  • a 168.63.129.16 sulla porta 8037

Se un gruppo di sicurezza di rete è associato all'interfaccia di rete o alla subnet in cui si trova l'interfaccia di rete, assicurarsi che le regole esistano per consentire la connettività in uscita sulle porte precedenti. Analogamente, assicurarsi la connettività in uscita sulle porte precedenti quando si aggiungono route definite dall'utente alla rete.

Installare l'agente Network Watcher

Per usare l'acquisizione di pacchetti, è necessario installare l'estensione macchina virtuale dell'agente Network Watcher nella macchina virtuale.

Usare il cmdlet Get-AzVMExtension per verificare se l'estensione è installata nella macchina virtuale:

# List the installed extensions on the virtual machine.
Get-AzVMExtension -VMName 'myVM' -ResourceGroupName 'myResourceGroup' | format-table Name, Publisher, ExtensionType, EnableAutomaticUpgrade 

Se l'estensione è installata nella macchina virtuale, è possibile visualizzarla nell'output del comando precedente:

Name                         Publisher                      ExtensionType            EnableAutomaticUpgrade
----                         ---------                      -------------            ----------------------
AzureNetworkWatcherExtension Microsoft.Azure.NetworkWatcher NetworkWatcherAgentLinux                   True

Se l'estensione non è installata, usare il cmdlet Set-AzVMExtension per installarla:

# Install Network Watcher agent on a Linux virtual machine.
Set-AzVMExtension -Publisher 'Microsoft.Azure.NetworkWatcher' -ExtensionType 'NetworkWatcherAgentLinux' -Name 'AzureNetworkWatcherExtension' -VMName 'myVM' -ResourceGroupName 'myResourceGroup' -TypeHandlerVersion '1.4' -EnableAutomaticUpgrade 1 

# Install Network Watcher agent on a Windows virtual machine.
Set-AzVMExtension -Publisher 'Microsoft.Azure.NetworkWatcher' -ExtensionType 'NetworkWatcherAgentWindows' -Name 'AzureNetworkWatcherExtension' -VMName 'myVM' -ResourceGroupName 'myResourceGroup' -TypeHandlerVersion '1.4' -EnableAutomaticUpgrade 1 

Dopo aver completato l'installazione dell'estensione, viene visualizzato l'output seguente:

RequestId IsSuccessStatusCode StatusCode ReasonPhrase
--------- ------------------- ---------- ------------
                         True         OK 

Avviare un'acquisizione di pacchetti

Per avviare una sessione di acquisizione, usare il cmdlet New-AzNetworkWatcherPacketCapture :

# Place the virtual machine configuration into a variable.
$vm = Get-AzVM -ResourceGroupName 'myResourceGroup' -Name 'myVM'

# Place the storage account configuration into a variable.
$storageAccount = Get-AzStorageAccount -ResourceGroupName 'myResourceGroup' -Name 'mystorageaccount'

# Start the Network Watcher capture session.
New-AzNetworkWatcherPacketCapture -Location 'eastus' -PacketCaptureName 'myVM_1' -TargetVirtualMachineId $vm.Id  -StorageAccountId $storageAccount.Id 

Dopo l'avvio della sessione di acquisizione, viene visualizzato l'output seguente:

ProvisioningState Name   BytesToCapturePerPacket TotalBytesPerSession TimeLimitInSeconds
----------------- ----   ----------------------- -------------------- ------------------
Succeeded         myVM_1 0                       1073741824           18000

La tabella seguente descrive i parametri facoltativi che è possibile usare con il New-AzNetworkWatcherPacketCapture cmdlet :

Interrompere un'acquisizione di pacchetti

Usare il cmdlet Stop-AzNetworkWatcherPacketCapture per arrestare manualmente una sessione di acquisizione pacchetti in esecuzione.

# Manually stop a packet capture session.
Stop-AzNetworkWatcherPacketCapture -Location 'eastus' -PacketCaptureName 'myVM_1'

Ottenere un'acquisizione di pacchetti

Usare il cmdlet Get-AzNetworkWatcherPacketCapture per recuperare lo stato di un'acquisizione di pacchetti (in esecuzione o completata).

# Get information, properties, and status of a packet capture.
Get-AzNetworkWatcherPacketCapture -Location 'eastus' -PacketCaptureName 'myVM_1'

L'output seguente è un esempio dell'output del Get-AzNetworkWatcherPacketCapture cmdlet . L'esempio seguente mostra il risultato ottenuto al completamento dell'acquisizione di pacchetti. Il valore PacketCaptureStatus è Stopped, mentre il valore StopReason corrisponde a TimeExceeded. Questo valore indica che l'acquisizione di pacchetti ha avuto esito positivo ed è stata eseguita per il tempo necessario.

ProvisioningState Name   Target                                                                                                                              BytesToCapturePerPacket TotalBytesPerSession TimeLimitInSeconds
----------------- ----   ------                                                                                                                              ----------------------- -------------------- ------------------
Succeeded         myVM_1 /subscriptions/aaaa0a0a-bb1b-cc2c-dd3d-eeeeee4e4e4e/resourceGroups/myResourceGroup/providers/Microsoft.Compute/virtualMachines/myVM 0                       1073741824           18000

Scaricare un'acquisizione di pacchetti

Dopo aver concluso la sessione di acquisizione pacchetti, il file di acquisizione risultante viene salvato in Archiviazione di Azure, un file locale nella macchina virtuale di destinazione o entrambi. La destinazione di archiviazione per l'acquisizione di pacchetti viene specificata durante la creazione. Per altre informazioni, vedere Avviare un'acquisizione di pacchetti.

Se viene specificato un account di archiviazione, i file di acquisizione vengono salvati nell'account di archiviazione nel percorso seguente:

https://{storageAccountName}.blob.core.windows.net/network-watcher-logs/subscriptions/{subscriptionId}/resourcegroups/{storageAccountResourceGroup}/providers/microsoft.compute/virtualmachines/{virtualMachineName}/{year}/{month}/{day}/packetcapture_{UTCcreationTime}.cap

Per scaricare un file di acquisizione pacchetti salvato in Archiviazione di Azure, usare il cmdlet Get-Az Archiviazione BlobContent:

# Download the packet capture file from Azure storage container.
Get-AzStorageBlobContent -Container 'network-watcher-logs' -Blob 'subscriptions/aaaa0a0a-bb1b-cc2c-dd3d-eeeeee4e4e4e/resourcegroups/myresourcegroup/providers/microsoft.compute/virtualmachines/myvm/2024/01/25/packetcapture_22_44_54_342.cap' -Destination 'C:\Capture\myVM_1.cap'

Eliminare un'acquisizione di pacchetti

# Remove a packet capture resource.
Remove-AzNetworkWatcherPacketCapture -Location 'eastus' -PacketCaptureName 'myVM_1'

Contenuto correlato

• Per informazioni su come automatizzare le acquisizioni di pacchetti con gli avvisi della macchina virtuale, consultare Creare un avviso di un'acquisizione di pacchetti attivati.
• Per informazioni su come analizzare un file di acquisizione pacchetti di Network Watcher tramite Wireshark, vedere Esaminare e analizzare i file di acquisizione pacchetti di Network Watcher.