Azure

Azure Network Watcher

Allgemeine Infos

Azure Network Watcher ist ein regionaler Dienst mit Werkzeugen für Überwachung, Diagnose und Verkehrsanalyse von IaaS-Netzwerken. Er wird automatisch in jeder Region aktiviert, in der Du ein VNet anlegst oder änderst, ohne Kosten für die Aktivierung.

Zu den Werkzeugen gehören Topologie und Connection Monitor für die Überwachung, IP Flow Verify, NSG-Diagnose, Next Hop, effektive Sicherheitsregeln, Connection Troubleshoot, Paketerfassung und VPN-Problembehandlung für die Diagnose sowie Flow Logs und Traffic Analytics für die Verkehrsanalyse.

Bei den Flow Logs gibt es einen Generationswechsel: NSG-Flow-Logs lassen sich nicht mehr neu anlegen und werden am 30. September 2027 eingestellt, bestehende Flow-Log-Ressourcen löscht Microsoft dann. Bereits gespeicherte Protokolle im Storage-Konto bleiben erhalten. Nachfolger sind VNet-Flow-Logs, die auf VNet-Ebene ansetzen.

Funktionsweise & Details

Die wichtigsten Werkzeuge und wofür sie dienen:

  1. IP Flow Verify: prüft, ob ein bestimmtes Paket von oder zu einer VM erlaubt ist und welche NSG-Regel entscheidet.
  2. Next Hop: zeigt, wohin ein Paket geroutet wird, etwa Firewall, Gateway oder Internet, und aus welcher Routentabelle die Route stammt.
  3. Connection Troubleshoot: testet einmalig die Verbindung von einer VM, einem Scale Set, einem Application Gateway oder Bastion zu einem Ziel.
  4. Connection Monitor: überwacht Verbindungen zwischen Azure und lokalen Endpunkten dauerhaft mit Latenz und Paketverlust.
  5. Paketerfassung: zeichnet Verkehr auf VMs oder Scale Sets per Erweiterung auf.
  6. VNet-Flow-Logs: protokollieren IP-Verkehr im VNet in einem Storage-Konto, Traffic Analytics wertet sie in Log Analytics grafisch aus.

Vorteile & Nutzen

  • Deutlich schnellere Fehlersuche, weil Regeln und Routen nicht manuell nachvollzogen werden müssen
  • Dauerhafte Überwachung hybrider Strecken wie Site-to-Site-VPN mit Alarmierung
  • Nachvollziehbarer Netzwerkverkehr für Sicherheitsanalysen und Nachweise
  • Keine Kosten für die Grundaktivierung und die meisten Diagnosewerkzeuge

Praxisbeispiel

Nach einer Firewall-Änderung erreicht bei einem Bauunternehmen ein Anwendungsserver in Azure die lokale Datenbank nicht mehr. Der Administrator prüft mit Next Hop, dass der Verkehr korrekt zur Azure Firewall läuft, und mit IP Flow Verify, dass die NSG ihn erlaubt. Damit liegt der Fehler in der Firewall-Regel, die er korrigiert. Anschließend richtet er einen Connection Monitor für die VPN-Strecke ein, der bei Paketverlust das Betriebsteam alarmiert.

Worauf sollte man achten?

  • Bestehende NSG-Flow-Logs vor dem 30. September 2027 auf VNet-Flow-Logs migrieren, Microsoft stellt dafür eine Migrationsanleitung bereit
  • Flow Logs und Traffic Analytics verursachen Speicher- und Log-Analytics-Kosten, Aufbewahrungsdauer bewusst festlegen
  • Paketerfassung nur gezielt erlauben, weil Mitschnitte vertrauliche Inhalte enthalten können
  • Verkehrsdaten können personenbezogene Daten enthalten, Zweck und Aufbewahrung datenschutzrechtlich dokumentieren
  • Wer die automatische Aktivierung abgeschaltet hat, muss Network Watcher je Region manuell aktivieren

Lizenz & Verfügbarkeit

Die automatische Aktivierung ist kostenlos. Kostenpflichtig sind unter anderem Flow Logs (nach gesammeltem Datenvolumen), Traffic Analytics, Connection Monitor (nach Testanzahl) und Diagnosevorgänge über ein Freikontingent hinaus, dazu Speicher und Log Analytics. NSG-Flow-Logs: keine Neuanlage, Einstellung am 30. September 2027. Stand: Oktober 2026.

Fazit

Network Watcher spart bei der Fehlersuche in Azure-Netzen viel Zeit. Stelle Flow Logs auf VNet-Flow-Logs um und plane deren Kosten mit ein.

Weiterführende Links

Verwandte Artikel