AzureのNetwork WatcherでVNet通信を診断する方法｜IPフロー確認・パケットキャプチャ・接続チェックの実践手順

この記事のポイント

・IP Flow VerifyはNSGが通信を遮断しているかを即座に判定できる
・NSGフローログはAllow/Denyを時系列で記録し事後調査に使える
・パケットキャプチャはVM Agent経由で実トラフィックを.capファイルに保存できる
・Connection Monitorでエンドツーエンドの到達性を継続的に監視できる

# Network Watcherの一覧確認
az network watcher list --output table

# 特定リージョンに有効化する（例：japaneast）
az network watcher configure   --resource-group NetworkWatcherRG   --locations japaneast   --enabled true

Location     Name                       ProvisioningState    ResourceGroup
-----------  -------------------------  -------------------  ----------------------
japaneast    NetworkWatcher_japaneast   Succeeded            NetworkWatcherRG

# VM拡張機能の一覧確認
az vm extension list   --resource-group myRG   --vm-name myLinuxVM   --output table

# Agent未インストールの場合はインストールする
az vm extension set   --resource-group myRG   --vm-name myLinuxVM   --name NetworkWatcherAgentLinux   --publisher Microsoft.Azure.NetworkWatcher   --version 1.4

# 変数を定義する
RG=myRG
VM=myLinuxVM

# VMのリソースIDを取得する
VM_ID=

# IP Flow Verifyの実行
# 例：外部IP(203.0.113.10)からVMの80番ポートへのインバウンド通信を確認
az network watcher test-ip-flow   --watcher-resource-group NetworkWatcherRG   --watcher-name NetworkWatcher_japaneast   --vm $VM_ID   --direction Inbound   --protocol TCP   --local 10.0.1.4:80   --remote 203.0.113.10:12345

{
  "access": "Allow",
  "ruleName": "AllowHttpInbound"
}

{
  "access": "Deny",
  "ruleName": "DefaultDenyAllInBound"
}

# ストレージアカウントを作成する（フローログの保存先）
az storage account create   --name mystorageflowlog01   --resource-group myRG   --location japaneast   --sku Standard_LRS

STORAGE_ID=

NSG_ID=

# NSGフローログを有効化する（バージョン2・保持90日）
az network watcher flow-log create   --name myFlowLog   --nsg $NSG_ID   --storage-account $STORAGE_ID   --enabled true   --retention 90   --version 2   --location japaneast   --resource-group NetworkWatcherRG

# パケットキャプチャの開始（TCP 80番を対象に60秒間）
az network watcher packet-capture create   --resource-group myRG   --vm myLinuxVM   --name myCapture01   --storage-account mystorageflowlog01   --time-limit 60   --filters '[{"protocol":"TCP","localIPAddress":"10.0.1.4","localPort":"80"}]'

# キャプチャの状態を確認する
az network watcher packet-capture show-status   --resource-group myRG   --vm myLinuxVM   --name myCapture01

# 手動で停止する場合
az network watcher packet-capture stop   --resource-group myRG   --vm myLinuxVM   --name myCapture01

# .capファイルをダウンロードする
az storage blob download   --account-name mystorageflowlog01   --container-name network-watcher   --name "captures/myCapture01.cap"   --file /tmp/myCapture01.cap

# tcpdumpで読み込む
tcpdump -r /tmp/myCapture01.cap -n

# 80番ポートだけに絞る
tcpdump -r /tmp/myCapture01.cap -n port 80

10:15:23.412104 IP 10.0.1.4.52301 > 10.0.2.10.80: Flags [S], seq 3847291041, win 65535
10:15:23.412890 IP 10.0.2.10.80 > 10.0.1.4.52301: Flags [S.], seq 287341012, ack 1
10:15:23.413251 IP 10.0.1.4.52301 > 10.0.2.10.80: Flags [.], ack 1, win 65535

# VMのリソースIDを取得する
VM_ID=

# Connection Monitorを作成する（30秒ごとにTCP 80をテスト）
az network watcher connection-monitor create   --name myConnMonitor   --resource-group myRG   --location japaneast   --source-resource-id $VM_ID   --dest-address 10.0.2.10   --dest-port 80   --monitoring-interval 30

# Connection Monitorの一覧を確認する
az network watcher connection-monitor list   --watcher-resource-group NetworkWatcherRG   --watcher-name NetworkWatcher_japaneast   --output table

# 最新のテスト結果を取得する
az network watcher connection-monitor query   --name myConnMonitor   --watcher-resource-group NetworkWatcherRG   --watcher-name NetworkWatcher_japaneast

{
  "sourceStatus": "Active",
  "states": [
    {
      "avgLatencyInMs": 1.23,
      "connectionState": "Reachable",
      "maxLatencyInMs": 3.10,
      "minLatencyInMs": 0.91,
      "probesFailed": 0,
      "probesSent": 10
    }
  ]
}