AZ-104
Deep Dive
Azure Network Watcher es el centro de diagnóstico y monitoreo de red. El AZ-104 evalúa sus herramientas de diagnóstico: IP Flow Verify, Next Hop, NSG Flow Logs y Connection Monitor para troubleshooting de conectividad.
Contenido
Azure Network Watcher es un servicio regional de monitoreo, diagnóstico y visualización de métricas de redes en Azure. Se habilita automáticamente por región cuando se crean recursos de red. Proporciona herramientas para diagnosticar problemas de conectividad, capturar paquetes, ver rutas y analizar tráfico.
Diagnóstico de conectividad
Captura y análisis
Visualización de topología
IP Flow Verify responde a la pregunta: "¿Por qué no puedo conectarme desde esta VM a esta IP en este puerto?". Evalúa las reglas NSG aplicadas a la NIC y subred de la VM y dice exactamente qué regla permite o bloquea el tráfico.
Inputs requeridos
• VM y NIC: la máquina virtual de origen
• Dirección: Inbound o Outbound
• Protocolo: TCP o UDP
• IP local: IP privada de la NIC
• Puerto local: puerto de origen
• IP remota: IP destino del tráfico
• Puerto remoto: puerto destino
Output del diagnóstico
Allow
Nombre de la regla NSG que permite el tráfico. Ej: AllowHTTPSFromInternet (prioridad 100)
Deny
Nombre de la regla NSG que bloquea el tráfico. Ej: DenyAllInBound (prioridad 65500)
Solo verifica NSG — no verifica routing, Azure Firewall ni OS firewall.
Next Hop responde: "¿Por dónde sale el tráfico desde esta VM hacia esta IP?". Evalúa la tabla de rutas efectivas (rutas del sistema + UDRs) y muestra el next hop — importante para verificar que el routing sea el esperado o detectar rutas incorrectas.
Tipos de next hop que puede mostrar
Cuándo usar Next Hop
Connection Monitor realiza pruebas de conectividad continuas (no one-shot como IP Flow Verify) y registra métricas de latencia, pérdida de paquetes y disponibilidad. Ideal para detectar degradación intermitente de red.
Orígenes soportados
Destinos soportados
Métricas que proporciona
ChecksFailedPercent
% de checks que fallaron
RoundTripTimeMs
Latencia RTT en ms
ProbesFailedPercent
% de probes fallidos (legacy)
AvgRoundTripTimeMs
Latencia promedio (legacy)
Los NSG Flow Logs registran información sobre el tráfico IP que fluye a través de un NSG — incluyendo el 5-tuple (IP src, IP dst, puerto src, puerto dst, protocolo), la acción (Allow/Deny) y el estado de la conexión (TCP: Initiated, Established, Terminated).
Versiones de Flow Logs
Version 1
Registra 5-tuple básico + Allow/Deny. Sin throughput. Para análisis básico.
Version 2
Todo de V1 + estado de conexión TCP (INIT/SYN, SYN_ACK, FIN, RST) + bytes/paquetes por sesión. Recomendado.
Almacenamiento y análisis
Packet Capture captura paquetes de red de una VM específica sin necesidad de conectarse a ella. Los paquetes se guardan en formato PCAP (compatible con Wireshark) en un Storage Account o en la VM directamente.
Filtros disponibles
Requisitos
Effective Security Rules
Muestra todas las reglas NSG efectivas (combinación de NSG de subred + NSG de NIC) para una NIC específica. Útil cuando no puedes identificar qué NSG está bloqueando el tráfico.
Effective Routes
Muestra la tabla de rutas efectivas para una NIC: rutas del sistema + UDRs + rutas BGP propagadas. Complementa a Next Hop mostrando la tabla completa.
VPN Diagnostics
Ejecuta diagnósticos en un VPN Gateway o una conexión VPN específica. Guarda logs en un Storage Account para análisis. Identifica configuraciones incorrectas de IKE, PSK, etc.
Connection Troubleshoot
Prueba one-shot de conectividad entre dos endpoints. Muestra si hay problemas de NSG, routing, SO firewall o si el destino es inalcanzable. Diferente de Connection Monitor (que es continuo).
| Pregunta de diagnóstico | Herramienta correcta |
|---|---|
| ¿Qué regla NSG está bloqueando este tráfico? | IP Flow Verify |
| ¿Hacia dónde sale este paquete desde esta VM? | Next Hop |
| ¿La conexión entre VM-A y VM-B tiene pérdida de paquetes? | Connection Monitor (monitoreo continuo) |
| ¿Qué combinación de reglas NSG se aplica a esta NIC? | Effective Security Rules |
| ¿Qué tráfico ha pasado por este NSG en los últimos 30 min? | NSG Flow Logs + Traffic Analytics |
| ¿Cuál es la tabla de rutas completa de esta VM? | Effective Routes |
| Necesito capturar paquetes para analizar en Wireshark | Packet Capture |
| ¿Por qué falla el túnel VPN entre Azure y on-premises? | VPN Diagnostics |
¿Entendiste este tema?
Pon a prueba lo que acabas de aprender
Un administrador necesita saber por qué una VM en Azure no puede conectarse a una IP on-premises en el puerto 443. La VM tiene NSG en la subred y en la NIC. ¿Qué herramienta de Network Watcher responde directamente si es un problema de NSG?