Azureネットワークウォッチャーでパケットキャプチャー

いろいろとサボってたら、1年半近くブログ書いてない事に気付いてしまった。

何をしてたのかと問われると困るけれど、社会人デビューしてました。

ccnw-jun.hatenablog.com

1年半前のネスペに見事落ちましたが、

昨年は無事に合格しました。進展はそれくらいです。

最近仕事でAzureに触れることが非常に多いので、

せっかくなのでAzureのこと書いてみるか～と思い立って早数ヶ月。

先月あたりにひょっこり登場した、

「Azure Network Watcher」を導入してみたいと思います。

Network Watcherの導入

blogs.msdn.microsoft.com

ひとまずこちらのページを参考に導入を試みましたが、導入方法がざっくりすぎたので公式のドキュメントに行きました。
docs.microsoft.com

f:id:idx_ccd3:20170312141836j:plain
まだプレビュー機能なので、登録するところから始まります。

Register-AzureRmProviderFeature -FeatureName AllowNetworkWatcher -ProviderNamespace Microsoft.Network
Register-AzureRmResourceProvider -ProviderNamespace Microsoft.Network

f:id:idx_ccd3:20170312141931j:plain

しばらく待つと登録が完了します。

Get-AzureRmProviderFeature -FeatureName AllowNetworkWatcher -ProviderNamespace Microsoft.Network

f:id:idx_ccd3:20170312151441j:plain

お次はポータルから有効化をぽちぽちと。
f:id:idx_ccd3:20170312142420j:plain

この画面で気付いたんですが、
現在提供されてるのは米国西部、米国中北部、米国中西部の3リージョンのみのようです。

パケットキャプチャの有効化

ネットワークウォッチャーが有効化できたので、パケットキャプチャ機能を使ってみたいと思います。
と、パケットキャプチャの追加ボタンを押したら何やらメッセージが…
f:id:idx_ccd3:20170312143204j:plain
エージェント入れないといけないみたいですね、ええ

docs.microsoft.com
ちゃんとドキュメントにも書いてありました。

Windowsの場合

パワーシェルで以下のコマンドを

Set-AzureRmVMExtension -ResourceGroupName "リソースグループ名" `
                       -Location "リージョン" `
                       -VMName "仮想マシン名" `
                       -Name "networkWatcherAgent" `
                       -Publisher "Microsoft.Azure.NetworkWatcher" `
                       -Type "NetworkWatcherAgentWindows" `
                       -TypeHandlerVersion "1.4"

f:id:idx_ccd3:20170312143825j:plain

Linuxの場合

こちらはAzure CLIの模様

azure vm extension set リソースグループ名 仮想マシン名 NetworkWatcherAgentLinux Microsoft.Azure.NetworkWatcher 1.4

f:id:idx_ccd3:20170312143814j:plain
OKが返ってきたら、やっとパケットキャプチャを追加できます。
対象のマシンやら、保存先のストレージアカウントやら簡単な設定だけでOKです。
f:id:idx_ccd3:20170312145251j:plain
プロトコルやIP、ポートでフィルターもかけられますが一旦省略。

追加が完了すると、実行中になります。
f:id:idx_ccd3:20170312144827j:plain

ちなみにコレ、設定した制限時間経つか、キャプチャを停止しないとファイルに出力されません。
規定の設定だと5時間後です。
待つのも辛かったので、一旦キャプチャを停止しました。

指定したストレージアカウントを見てみると、ちゃんと保存されてます。
f:id:idx_ccd3:20170312145647j:plain
あとはこれをWiresharkや、Microsoft Message Analyzerで開けばOKです。
試しにMicrosoft Message Analyzerで開いた画面がこちら。
f:id:idx_ccd3:20170312150032j:plain