Microsoft AZ-700: 网络监视与故障排除 — 学习指南
属于 Microsoft Azure Network Engineer AZ-700 — 学习指南. 使用经过验证的答案练习： Microsoft 考试中心, 或参加限时模拟考试： ExamRoll.io.
可观测性工具和数据源
Azure 网络的可观测性以 Network Watcher、Azure Monitor (Log Analytics) 以及将资源遥测数据流式传输到中央工作区或存储帐户的诊断设置为中心。Network Watcher 提供数据包捕获、IP 流验证、下一跃点、连接故障排除和 Connection Monitor 功能；Connection Monitor v2 支持多终结点、多协议测试，并将结果存储在 Log Analytics 工作区中以提供可查询的遥测数据。NSG 流日志通过 Network Watcher 启用，并将 JSON 记录写入存储帐户；启用流量分析（需要流日志和一个 Log Analytics 工作区）可以通过应用程序/地理位置洞察和可视化来丰富这些日志。Azure Firewall、Application Gateway/WAF、Front Door 和负载均衡器上的诊断设置应路由到同一个 Log Analytics 工作区，以便关联信号。常见的陷阱包括：存储帐户防火墙规则阻止流日志写入、在旧租户中忘记按区域启用 Network Watcher，以及存储帐户与 Log Analytics 之间保留策略不一致。成本和功能之间的权衡非常明确：将原始日志写入存储帐户以进行低成本归档，或者将其引入 Log Analytics 以进行查询和警报（成本更高，但诊断价值大得多）。必须配置基于角色的访问控制（需要时使用“监视读取者”和“存储 Blob 数据读取者”角色），以便诊断管道可以写入日志，分析师可以读取日志。
数据包捕获、Connection Monitor 和深度诊断
对于数据包级别的故障排除，Network Watcher 的数据包捕获功能（通过门户/CLI/PowerShell）可将 PCAP 文件创建到存储帐户或本地 VM 文件中。配置数据包捕获筛选器（协议、源/目标 IP、端口）以及大小/时间限制，以避免过度的存储和性能影响。对于启用了加速网络的高吞吐量 VM，主机端的数据包可见性可能受限；应使用 VNet TAP 将流量镜像到收集器 VM 或 NVA，以避免丢失被卸载的数据包。Connection Monitor 应用于主动的综合测试：定义源和目标终结点（IP、FQDN、端口），选择测试频率，并启用逐跳延迟和路径捕获以进行多段诊断。使用 IP 流验证来检查特定的 5 元组是被 NSG/UDR 允许还是拒绝，并使用下一跃点来确认有效路由。注意陷阱：在 Windows VM 上进行数据包捕获可能需要提升的权限，并且会受到操作系统卸载的影响；数据包捕获可能占用大量 CPU/磁盘资源，因此首选有针对性的筛选器和时间限制。为了进行大规模的持续数据包检测，可将 VNet TAP 与能够接收 PCAP 流的数据包分析设备或云 SIEM 配对使用。
NSG 流日志、流量分析和安全诊断
NSG 流日志（版本 2）提供包含时间戳、5 元组、字节/数据包计数和决策（允许/拒绝）的流记录。它们不包含有效负载、应用层会话详细信息或解密的 TLS 内容。流量分析通过主要通信源、ASN 和地理位置映射来丰富流日志，这需要一个 Log Analytics 工作区。Azure Firewall、Application Gateway/WAF 和 Azure Front Door 会发出各自的诊断信息；这些信息必须定向到 Log Analytics 以进行统一查询。重要的设计陷阱：应用于 NIC 级别的 NSG 规则优先于子网级别的规则；存在默认规则（例如 AzureLoadBalancer、互联网规则），这些规则无法删除，只能被更高优先级的规则覆盖。流日志的用处取决于其保留和引入策略——在 Log Analytics 中长期保留成本高昂，而短期保留则有丢失取证证据的风险。将 NSG 流日志与防火墙诊断日志以及基于 Kusto 查询的警报规则相结合，以检测横向移动或数据外泄。在规划补救措施时，如果 Log Analytics 成本过高，可以考虑为 Azure Firewall 添加专用的公共 IP 以缓解 SNAT 端口耗尽问题，并利用 DiagnosticSettings 将日志路由到 Event Hubs 以进行 SIEM 集成。
← 负载均衡与流量管理 · 所有领域 · Azure Virtual WAN 与 Hub-Spoke →
练习这些题目 → · 在 ExamRoll.io 上限时练习 →
Pass the whole exam — not just this question
You found this answer. Get every verified question and explanation in one place, and save hours of prep. Free to start.
通过考试 →