Configuración de Connection Monitor para ExpressRoute

Artículo
06/30/2023

Este artículo ayuda a configurar una extensión de Connection Monitor para supervisar ExpressRoute. Connection Monitor es una solución de supervisión de red basada en la nube que supervisa la conectividad entre las implementaciones de nube de Azure y las ubicaciones locales (sucursales, etc.) Connection Monitor forma parte de los registros de Azure Monitor. La extensión también le permite supervisar la conectividad de red para las conexiones privadas y de emparejamiento de Microsoft. Al configurar Connection Monitor para ExpressRoute, puede detectar problemas de red para identificarlos y eliminarlos.

Nota:

Este artículo se ha actualizado recientemente para usar el término registros de Azure Monitor en lugar de Log Analytics. Los datos de registro siguen almacenándose en un área de trabajo de Log Analytics y siguen recopilándose y analizándose por el mismo servicio de Log Analytics. Estamos actualizando la terminología para reflejar mejor el rol de los registros de Azure Monitor. Consulte Azure Monitor terminology changes (Cambios en la terminología de Azure Monitor) para obtener más información.

Con Connection Monitor para ExpressRoute puede hacer lo siguiente:

Supervisar la latencia y pérdida en varias redes virtuales y establecer alertas.
Supervisar todas las rutas de acceso (incluidas las redundantes) de la red.
Solucionar problemas de red transitorios y puntuales que resultan difíciles de replicar.
Ayudar a determinar un segmento específico de la red que es responsable de la degradación del rendimiento.

Flujo de trabajo

Se instalan agentes de supervisión en varios servidores, tanto en el entorno local como en Azure. Los agentes se comunican entre sí mediante el envío de paquetes de protocolo de enlace TCP. La comunicación entre los agentes permite a Azure asignar la topología de red y la ruta de acceso que puede tomar el tráfico.

Cree un área de trabajo de Log Analytics.
Instalación y configuración de agentes de software. (Si solo quiere supervisar el emparejamiento de Microsoft, no es necesario instalar ni configurar agentes de software):
- Instale agentes de supervisión en los servidores locales y las máquinas virtuales de Azure (para emparejamiento privado).
- Configure las opciones en los servidores de agente de supervisión para permitir que estos agentes se comuniquen. (Por ejemplo, abrir puertos del firewall).
Configure las reglas de grupo de seguridad de red (NSG) para permitir que el agente de supervisión instalado en las máquinas virtuales de Azure se comuniquen con agentes de supervisión locales.
Habilite Network Watcher en la suscripción.
Configure la supervisión: cree monitores de conexión con grupos de prueba para supervisar los puntos de conexión de origen y de destino en la red.

Si ya usa Network Performance Monitor (en desuso) o Connection Monitor para supervisar otros objetos o servicios, y ya tiene un área de trabajo de Log Analytics en una de las regiones admitidas, puede omitir los pasos 1 y 2, y comenzar la configuración en el paso 3.

Crear un área de trabajo

Cree un área de trabajo en la suscripción que tiene las redes virtuales vinculadas a los circuitos ExpressRoute.

Inicie sesión en Azure Portal. En la suscripción que tiene las redes virtuales conectadas al circuito ExpressRoute, seleccione + Crear un recurso. Busque Área de trabajo de Log Analytics y, después, seleccione Crear.

Nota:

Puede crear una nueva área de trabajo o usar una existente. Si desea usar un área de trabajo existente, debe asegurarse de que se haya migrado el área de trabajo al nuevo lenguaje de consulta. Más información...

Para crear un área de trabajo, escriba o seleccione la información siguiente.

Configuración	Value
Suscripción	Seleccione la suscripción con el circuito ExpressRoute.
Grupo de recursos	Cree un grupo de recursos o seleccione uno existente.
Nombre	Escriba un nombre para identificar esta área de trabajo.
Region	Seleccione una región en la que crear esta área de trabajo.

Captura de pantalla de la pestaña Datos básicos para crear un área de trabajo de Log Analytics.

Nota:

El circuito ExpressRoute puede estar en cualquier lugar del mundo. No tiene que estar en la misma región que el área de trabajo.

Seleccione Revisar y crear para validarlo y después Crear para implementar el área de trabajo. Una vez que haya implementado el área de trabajo, continúe con la sección siguiente para configurar la solución de supervisión.

Configuración de soluciones de supervisión

Complete el script de Azure PowerShell. Para ello, reemplace los valores de $SubscriptionId, $location, $resourceGroup y $workspaceName. Después, ejecute el script para configurar la solución de supervisión.

$subscriptionId = "Subscription ID should come here"
Select-AzSubscription -SubscriptionId $subscriptionId

$location = "Workspace location should come here"
$resourceGroup = "Resource group name should come here"
$workspaceName = "Workspace name should come here"

$solution = @{
    Location          = $location
    Properties        = @{
        workspaceResourceId = "/subscriptions/$($subscriptionId)/resourcegroups/$($resourceGroup)/providers/Microsoft.OperationalInsights/workspaces/$($workspaceName)"
    }
    Plan              = @{
        Name          = "NetworkMonitoring($($workspaceName))" 
        Publisher     = "Microsoft"
        Product       = "OMSGallery/NetworkMonitoring"
        PromotionCode = ""
    }
    ResourceName      = "NetworkMonitoring($($workspaceName))" 
    ResourceType      = "Microsoft.OperationsManagement/solutions" 
    ResourceGroupName = $resourceGroup
}

New-AzResource @solution -Force

Una vez que haya configurado la solución de supervisión, continúe con el siguiente paso de instalación y configuración de los agentes de supervisión en los servidores.

Instalación y configuración de agentes en el entorno local

Descarga del archivo de instalación del agente

Vaya al área de trabajo de Log Analytics y seleccione Administración de agentes en Configuración. Descargue el agente correspondiente al sistema operativo de la máquina.
Después, copie los valores de Id. de área de trabajo y Clave principal en el Bloc de notas.
Para máquinas Windows, descargue y ejecute este script de PowerShell EnableRules.ps1 en una ventana de PowerShell con privilegios de administrador. El script de PowerShell ayudará a abrir el puerto de firewall adecuado para las transacciones TCP.

Para las máquinas Linux, el número de puerto se debe cambiar manualmente con los pasos siguientes:
- Vaya a la ruta: /var/opt/microsoft/omsagent/npm_state.
- Abra el archivo npmdregistry.
- Cambie el valor de número de puerto PortNumber:<port of your choice>.

Instalación del agente de Log Analytics en cada servidor de supervisión

Se recomienda instalar el agente de Log Analytics en al menos dos servidores en ambos lados de la conexión de ExpressRoute para obtener redundancia. Por ejemplo, en la red local y en la red virtual de Azure. Use los pasos siguientes para instalar agentes:

Seleccione el sistema operativo adecuado para los pasos de instalación del agente de Log Analytics en los servidores.
- Windows
- Linux
Una vez completado el proceso, Microsoft Monitoring Agent aparece en el Panel de control. Puede revisar la configuración y comprobar la conectividad del agente a los registros de Azure Monitor.
Repita los pasos 1 y 2 en las demás máquinas locales que quiera usar para la supervisión.

Instalación del agente de Network Watcher en cada servidor de supervisión

Nueva máquina virtual de Azure

Si va a crear una máquina virtual de Azure para supervisar la conectividad de la red virtual, puede instalar el agente de Network Watcher al crear la máquina virtual.

Máquina virtual de Azure existente

Si va a usar una máquina virtual existente para supervisar la conectividad, puede instalar el agente de red de forma independiente para Linux y Windows.

Apertura de los puertos de firewall en los servidores de agente de supervisión

Las reglas de un firewall pueden bloquear la comunicación entre los servidores de origen y destino. Connection Monitor detecta este problema y lo muestra como un mensaje de diagnóstico en la topología. Para habilitar la supervisión de la conexión, asegúrese de que las reglas de firewall permitan los paquetes por medio de TCP o ICMP entre el origen y el destino.

Windows

Para las máquinas Windows, puede ejecutar un script de PowerShell para crear las claves del Registro necesarias para Connection Monitor. Este script también crea reglas del Firewall de Windows para permitir que los agentes de supervisión creen conexiones TCP entre sí. Las claves del Registro que crea el script especifican si se deben escribir los registros de depuración y la ruta del archivo de registro. Asimismo, define el puerto TCP del agente empleado para establecer la comunicación. El script establece automáticamente los valores de estas claves. No debería cambiar manualmente estas claves.

El puerto 8084 se abre de forma predeterminada. Puede utilizar un puerto personalizado especificando el parámetro "portNumber" en el script. Sin embargo, si lo hace, debe especificar el mismo puerto para todos los servidores en los que se ejecuta el script.

Nota:

El script de PowerShell "EnableRules" solo configura reglas del firewall de Windows en el servidor donde se ejecuta. Si tiene un firewall de red, debe asegurarse de que permita el tráfico destinado al puerto TCP que use Connection Monitor.

En los servidores de agente, abra una ventana de PowerShell con privilegios administrativos. Ejecute el script EnableRules de PowerShell (que descargó anteriormente). No utilice ningún parámetro.

Captura de pantalla de la ejecución del script de habilitación de reglas en la ventana de PowerShell.

Linux

Para las máquinas Linux, es necesario cambiar manualmente los números de puerto utilizados:

Vaya a la ruta: /var/opt/microsoft/omsagent/npm_state.
Abra el archivo npmdregistry.
Cambie el valor del número de puerto PortNumber:\<port of your choice\>. Los números de puerto que se usan deben ser iguales en todos los agentes utilizados en un área de trabajo.

Configuración de las reglas del grupo de seguridad de red

Para supervisar los servidores que se encuentran en Azure, debe configurar reglas del grupo de seguridad de red (NSG) para permitir el tráfico TCP o ICMP desde Connection Monitor. El puerto predeterminado es **8084, que permite que el agente de supervisión instalado en la máquina virtual de Azure se comunique con un agente de supervisión local.

Para obtener más información sobre NSG, vea el tutorial sobre filtrado del tráfico de red.

Nota:

Asegúrese de que ha instalado los agentes (tanto el agente de servidor local como el agente de servidor de Azure) y que ha ejecutado el script de PowerShell antes de continuar con este paso.

Habilitación de Network Watcher

Todas las suscripciones que tienen una red virtual se habilitan con Network Watcher. Asegúrese de que Network Watcher no esté explícitamente deshabilitado en la suscripción. Para más información, consulte Habilitación de Network Watcher.

Creación de un monitor de conexión

Para obtener información general sobre cómo crear un monitor de conexión, pruebas y grupos de pruebas en los puntos de conexión de origen y destino de la red, vea Creación de un monitor de conexión. Siga estos pasos para configurar la supervisión de conexiones para el emparejamiento privado y el emparejamiento de Microsoft.

En Azure Portal, vaya al recurso Network Watcher y seleccione Monitor de conexión en Supervisión. Después, seleccione Crear para crear un monitor de conexión.
En la pestaña Datos básicos del flujo de trabajo de creación, seleccione la misma región en la que haya implementado el área de trabajo de Log Analytics para el campo Región. En Configuración del área de trabajo, seleccione el área de trabajo de Log Analytics existente que ha creado antes. Después, seleccione Siguiente: Grupos de prueba >>.
En la página de detalles Agregar grupo de prueba, agregará los puntos de conexión de origen y de destino para el grupo de prueba. También configurará las configuraciones de prueba entre ellos. Escriba un Nombre para este grupo de prueba.
Seleccione Agregar origen y vaya a la pestaña Puntos de conexión que no son de Azure. Elija los recursos locales con el agente de Log Analytics instalado para los que quiera supervisar la conectividad y, después, seleccione Agregar puntos de conexión.
Después, seleccione Agregar destinos.

Para supervisar la conectividad por medio del emparejamiento privado de ExpressRoute, vaya a la pestaña Puntos de conexión de Azure. Elija los recursos de Azure que tengan instalado el agente de Network Watcher y de los que quiera supervisar la conectividad a las redes virtuales en Azure. Asegúrese de seleccionar la dirección IP privada de cada uno de los recursos en la columna IP. Seleccione Agregar punto de conexión para agregarlo a la lista de destinos para el grupo de prueba.

Para supervisar la conectividad por medio del emparejamiento de Microsoft de ExpressRoute, vaya a la pestaña Direcciones externas. Seleccione los puntos de conexión de servicios de Microsoft en los que quiera supervisar la conectividad por medio del emparejamiento de Microsoft. Seleccione Agregar punto de conexión para agregarlo a la lista de destinos para el grupo de prueba.
Ahora, seleccione Agregar configuración de prueba. Seleccione TCP para al protocolo y escriba el puerto de destino que haya abierto en los servidores. Después, configure los valores de Frecuencia de prueba y los umbrales de Comprobaciones erróneas y Tiempo de ida y vuelta. Luego, seleccione Agregar configuración de prueba.
Seleccione Agregar grupo de prueba cuando haya agregado los orígenes, los destinos y la configuración de prueba.
Seleccione Siguiente: Crear alerta >> si quiere crear alertas. Cuando haya terminado, seleccione Revisar y crear y después Crear.

Vista de resultados

Vaya al recurso Network Watcher y seleccione Monitor de conexión en Supervisión. Debería ver el nuevo monitor de conexión después de 5 minutos. Para ver los gráficos de rendimiento y topología de red del monitor de conexión, seleccione la prueba en la lista desplegable de grupos de prueba.
En el panel Análisis de rendimiento puede ver el porcentaje de comprobación con error y los resultados de cada prueba para el tiempo de ida y vuelta. Puede ajustar el período de tiempo de los datos mostrados si selecciona la lista desplegable de la parte superior del panel.
Al cerrar el panel Análisis de rendimiento se muestra la topología de red detectada por el monitor de conexión entre los puntos de conexión de origen y destino que ha seleccionado. En esta vista se muestran las rutas bidireccionales del tráfico entre los puntos de conexión de origen y de destino. También puede ver la latencia salto a salto de los paquetes antes de que lleguen a la red perimetral de Microsoft.

Al seleccionar cualquier salto en la vista de topología, se mostrará información adicional sobre el salto. Aquí también se mostrarán los problemas detectados por el monitor de conexión sobre el salto.