连接监视器概述

连接监视器提供统一和持续的网络连接性监视，使用户能够检测异常状况，识别负责问题的特定网络组件，并在Azure和混合云环境中进行故障排除，提供可操作的见解。

连接监视器测试会测量 TCP、ICMP 和 HTTP ping 的聚合数据包丢失和网络延迟指标。 统一的拓扑结构可视化展示完整的端到端网络路径，并通过跃点性能指标来突出显示网络路径中的跃点。 连接监视器提供可操作的见解和详细日志，以有效地分析和排查问题的根本原因。

用例

下面是连接监视器的一些用例：

• 前端 Web 服务器虚拟机 (VM) 与多层应用程序中的数据库服务器 VM 进行通信。 你希望检查两个 VM 之间的网络连接。
• 您希望检查从 Azure 虚拟机规模集的一个或多个实例到您的 Azure 或非 Azure 多层应用程序的连接性。
• 您想要检查本地部署与托管云应用程序的 Azure 虚拟机或规模集之间的连接。
• 你希望位于中国东部地区的 VM 能够 ping 位于中国北部地区的 VM，以便测量并比较跨区域网络延迟。
• 西雅图、华盛顿和弗吉尼亚州阿什本都有本地办公地点，都连接到Microsoft 365 URL。 你希望比较Microsoft 365用户在这些位置之间的延迟。
• 混合应用程序需要连接到一个 Azure 存储帐户终结点，该终结点可以同时被本地站点和 Azure 应用程序访问。 想要将本地站点的延迟与Azure应用程序的延迟进行比较。

连接监视器的优势

下面是使用连接监视器的一些优势：

• Azure 和混合云环境中的跨越订阅和跨越工作区监控体验。

• 支持使用 Network Watcher 扩展启用的源终结点：Azure VM、Azure虚拟机规模集和已启用 Arc 的本地主机。

• 支持的目标终结点：Azure VM、Azure虚拟机规模集、已启用 Arc 的本地主机、URL、FQDN 和 IP 地址。 目标终结点不需要Network Watcher扩展。

• 更高的探测频率，更好地了解网络性能

• 使用拓扑实现端到端网络路径可见性。

• Azure和混合部署的快速警报方案。

• 支持基于 HTTP、TCP 和 ICMP 的连接性检查。

• Azure Monitor中的指标和Azure Log Analytics中的日志。

监控代理

连接监视器依赖轻型的可执行文件来运行连接性检查。 它支持从Azure环境和本地环境进行连接检查。 使用的可执行文件取决于 VM 是托管在Azure还是本地。

监视来自Azure虚拟机和虚拟机规模集的连接

若要监视来自Azure虚拟机或虚拟机规模集的连接，连接监视器必须将这些资源识别为监视源。 为此，需要在 Azure 虚拟机或规模集中安装 Network Watcher 代理虚拟机扩展，也称为 Network Watcher 扩展。 启用端到端监视和访问其他高级功能需要此扩展。 有关详细信息，请参阅 管理 Windows 的 Network Watcher 扩展 或 管理 Linux 的 Network Watcher 扩展。

监视来自本地主机的连接

若要监视来自本地主机的连接，必须使用 Arc 代理启用该连接。 若要详细了解如何启用 Arc 代理，请参阅连接启用了Azure Arc服务器的混合计算机。 Windows 和 Linux 计算机上都支持代理。

启用Azure Arc代理后，继续启用Azure Monitor代理。 有关详细信息，请参阅 Install 和管理 Azure Monitor Agent。

如果使用 Azure 门户创建连接监视器，则可以避开 Azure Monitor 代理扩展的安装过程。 但是，仍需要在本地主机上启用Azure Arc代理。

Log Analytics工作区监视解决方案

若要确保在Log Analytics工作区中准确上传监视日志，请确保在创建连接监视器之前在工作区中启用网络性能监视解决方案：

若要为本地计算机启用网络Performance Monitor解决方案，请执行以下步骤：

1. 在Azure门户中，转到 Network Watcher。

2. 在“监视”下，选择“连接监视器”。

3. 选择 + 启用非Azure。

4. 在 启用非Azure中，选择要在其中启用解决方案的订阅和日志分析工作区，然后选择 创建。

5. 转到Log Analytics工作区。

6. 在“经典”下，选择“旧版解决方案”。

7. 选择“NetworkMonitoring(yourWorkspace)”

创建连接监视器

连接监视器会定期监视通信。 它会通知你有关可访问性和延迟的更改情况。 还可以检查源代理和目标终结点之间当前的和历史的网络拓扑。

源可以是已安装监视代理的 Azure 虚拟机/规模集，或者是本地计算机。 目标终结点可以Microsoft 365 URL、Dynamics 365 URL、自定义 URL、Azure VM 资源 ID、IPv4、IPv6、FQDN 或任何域名。

访问连接监控

1. 在Azure门户中，转到 Network Watcher。

2. 在左侧窗格中的“监视”下，选择“连接监视器”。

   此时会显示在连接监视器中创建的所有连接监视器。 若要查看在经典连接监视器体验中创建的连接监视器，请选择“连接监视器”选项卡。

   

创建连接监视器

在您在连接监视器中创建的连接监视中，可以将本地计算机和 Azure 虚拟机/规模集添加为源。 这些连接监视器还可以监视与终结点的连接。 终结点可以位于Azure或任何其他 URL 或 IP 地址上。

连接监视器包含以下实体：

• 连接监视器资源：一个特定于区域的 Azure 资源。 以下所有实体都是连接监视器资源的属性。

• 终结点：参与连接性检查的源或目标。 终结点的示例包括Azure VM/规模集、本地代理、URL 和 IP 地址。

• 测试配置：针对测试的特定于协议的配置。 可以根据你选择的协议来定义端口、阈值、测试频率和其他属性。

• 测试组：包含源终结点、目标终结点和测试配置的组。 连接监视器可包含多个测试组。

• 测试：将源终结点、目标终结点和测试配置组合在一起。 测试是提供监控数据的最细致级别。 监视数据包括检查失败的百分比和往返时间 (RTT)。

  

可以使用 Azure 门户、ARMClient 或 Azure PowerShell 创建连接监视器。

添加到测试组中的所有源、目标和测试配置将细分为单独的测试。 下面是源和目标的安排方式示例：

• 测试组：TG1
• 源：3 (A, B, C)
• 目标：2 (D, E)
• 测试配置：2个（配置 1、配置 2）
• 已创建的测试总数：12

规模限制

连接监视器具有以下规模限制：

• 每个区域每个订阅的最大连接监视器数：100
• 每个连接监视器的最大测试组：20 个
• 每个连接监视器的最大源和目标数：100
• 每个连接监视器的最大测试组：20

监视Azure和非Azure资源的覆盖范围：

连接监视器提供五个不同的覆盖级别，用于监视复合资源，即虚拟网络、子网和规模集。 覆盖级别定义为在将这些资源作为源或目标进行监视时实际包含的复合资源实例的百分比。 用户可手动选择一个覆盖级别（“低”、“低于平均”、“平均”、“高于平均”和“完全”），以定义将特定资源作为终结点进行监视时要包含的实例的大致百分比。

分析监视数据并设置警报

创建连接监视器后，源会根据测试配置来检查与目标的连接。

监视终结点时，连接监视器每 24 小时重新评估一次终结点的状态。 因此，如果 VM 在 24 小时周期内被解除分配或被关闭，连接监视器将报告由于网络路径中没有数据而导致的不确定状态，直到 24 小时周期结束，然后再重新评估 VM 的状态并将 VM 状态报告为已解除分配。

测试中的检查

根据你在测试配置中所选的协议，连接监控工具对源和目标对执行一系列检查。 根据所选测试频率运行检查。

如果使用 HTTP，则服务会计算返回了有效响应代码的 HTTP 响应数。 可以使用 PowerShell 和Azure CLI设置有效的响应代码。 结果确定检查失败的百分比。 为了计算 RTT，服务会测量 HTTP 调用和响应之间的时间。

如果使用 TCP 或 ICMP，则服务会计算数据包丢失百分比，以确定检查失败的百分比。 若要计算 RTT，则服务会测量为发送的数据包接收确认 (ACK) 所花费的时间。 如果已为网络测试启用了跟踪路由数据，则可以查看本地网络的逐跳丢失和延迟。

测试的状态

根据检查返回的数据，测试状态可能为：

• ** 通过：失败检查百分比和 RTT 的实际值在指定的阈值内。
• 失败：检查失败或 RTT 的百分比的实际值超出指定的阈值。 如果未指定阈值，则当检查失败的百分比为 100 时，测试将进入“失败”状态。
• 警告：
  • 如果指定了阈值，并且连接监视器观测到超过80% 的阈值的检查失败百分比，则测试将被标记为“警告”。
  • 如果没有指定的阈值，连接监视器会自动分配一个阈值。 超过此阈值时，测试状态将更改为“警告”。 对于 TCP 或 ICMP 测试中的往返时间，阈值为 750 毫秒 (ms)。 对于检查失败百分比，阈值为 10%。
• indeterminate：Log Analytics工作区中没有数据。 检查指标。
• 未运行：由于测试组被禁用而停用。 

数据收集、分析和警报

连接监视器收集的数据存储在Log Analytics工作区中。 在你创建连接监视器时设置了此工作区。

在 Azure Monitor 指标中也提供监视数据。 可以使用 Log Analytics 根据需要无限期保留监视数据。 默认情况下，Azure Monitor仅存储 30 天的指标。

可以根据数据设置基于指标的警报。

监控仪表板

在监视仪表板上，可以查看订阅、区域、时间戳、源和目标类型的、可供访问的连接监视器列表。

从Network Watcher转到连接监视器时，可以通过以下方式查看数据：

• 连接监视器：为订阅、区域、时间戳、源和目标类型创建的所有连接监视器的列表。 此视图为默认视图。
• 测试组：为订阅、区域、时间戳、源和目标类型创建的所有测试组的列表。 这些测试组不由连接监视器进行筛选。
• 测试：针对订阅、区域、时间戳、源和目标类型运行的所有测试的列表。 这些测试不由连接监视器或测试组进行筛选。

在下图中，这三个数据视图由箭头 1 指示。

在仪表板上，可以展开每个连接监视器以查看其测试组。 然后，可以展开每个测试组以查看在其中运行的测试。

你可以基于以下内容筛选列表：

• 顶层筛选器：按文本、实体类型（连接监视器、测试组或测试）时间戳和范围搜索列表。 范围包括订阅、区域、源和目标类型。 请查看下图中的框 1。

• 基于状态的筛选器：按连接监视器、测试组或测试的状态进行筛选。 请查看下列图像中的框 2。

• 基于警报的筛选器：按连接监视器资源上触发的警报进行筛选。 请查看下图中的框 3。

  

例如，若要在连接监视器中查看源 IP 是 10.192.64.56 的所有测试，请执行以下步骤：

1. 将视图更改为测试。

2. 在“搜索”框中输入“10.192.64.56” 。

3. 在范围中，在顶层筛选器中选择源。

若要在连接监控器中仅显示失败测试，其中源 IP 是 10.192.64.56，请执行以下步骤：

1. 将视图更改为测试。

2. 对于基于状态的筛选器，请选择“失败”。

3. 在“搜索”框中输入“10.192.64.56” 。

4. 在范围中，在顶层筛选器中选择源。

若要在连接监视器中仅显示目标为 outlook.office365.com 的失败测试，请执行以下步骤：

1. 将视图更改为测试。

2. 对于基于状态的筛选器，请选择“失败”。

3. 在“搜索”框中输入“office.live.com” 。

4. 在顶层筛选器的“范围”选项中，选择“目标”。

   

若要了解连接监视器、测试组或测试的失败原因，请选择“原因”列。 此列会告知哪个阈值被超越（检查失败百分比或 RTT），并显示相关的诊断信息。

若要查看 RTT 的趋势和连接监视器检查失败的百分比，请执行以下操作：

1. 选择要分析的连接监视器。

   

   该窗格显示以下部分：

   • 概要：所选连接监视器的资源特定属性。

   • 汇总：

     • 在连接监视器中，显示所有测试的 RTT 聚合趋势线以及检查失败率百分比。 可设置特定时间以查看详细信息。
     • 基于 RTT 或检查失败百分比得出的测试组、源和目标中的前五项。

   • 选项卡：“测试组”、“源”、“目标”和“测试配置”。 列出连接监视器中的测试组、源或目标。 检查测试失败数、聚合 RTT 和检查失败百分比值。 还可回到过去的时间查看数据。

   • 问题：连接监视器中每个测试的跃点级别问题。

     

2. 在此窗格中，可以：

   • 选择“查看所有测试”以查看连接监视器中的所有测试。

     • 选择测试并对其进行比较。

       

     • 使用群集将复合资源（例如虚拟网络和子网）扩展到其子资源。

     • 通过选择拓扑，可以查看任何测试的相关拓扑。

   • 选择“查看所有测试组”、“查看测试配置”、“查看源”和“查看目标”查看特定于每项的详细信息 。

   • 选择测试组、测试配置、源或目标以查看实体中的所有测试。

若要查看 RTT 的趋势和测试组检查失败的百分比，可选择要调查的测试组。

可以像在连接监视器中那样查看以下信息并在它们之间导航：测试组、源、目标和测试配置的概要、摘要和表。

若要查看 RTT 趋势和失败的检查测试数百分比，请执行以下步骤：

1. 选择要调查的测试。 可以在网络拓扑和端到端趋势图中查看检查失败百分比和往返时间。

2. 若要查看识别到的问题，请在拓扑的路径中选择任一跃点。 跃点是Azure资源。

   注意

   此功能目前不适用于本地网络。

   

Log Analytics 中的日志查询

使用Log Analytics创建自定义监视数据的视图。 所有显示的数据都来自Log Analytics。 可以以交互方式分析存储库中的数据。 将基于 Log Analytics 的代理健康状态或其他解决方案中的数据进行关联。 将数据导出到 Excel 或Power BI，或创建可共享链接。

连接监视器中的网络拓扑

你通常会使用代理执行的 traceroute 命令结果构建连接监视器拓扑。 traceroute 命令主要获取从源到目标的所有跃点。

但是，在源或目标位于Azure边界内的实例中，可以通过合并两个不同的作的结果来生成拓扑。 第一个操作是 traceroute 命令的结果。 第二个操作是内部命令的结果，该命令在Azure边界内根据客户网络配置识别逻辑路由。 此内部命令类似于 Network Watcher “下一跃点诊断”工具。

由于第二个作是逻辑的，并且第一个作通常不会标识Azure边界内的任何跃点，因此合并结果中的几个跃点（主要是Azure边界内的跃点）不会显示延迟值。

Azure Monitor中的指标

在连接监视器体验推出之前创建的连接监视器中，以下所有四个指标都可用：探测失败百分比、AverageRoundtripMs、ChecksFailedPercent 和 RoundTripTimeMs。

通过连接监视器体验创建的连接监视器中，数据仅适用于 ChecksFailedPercent、RoundTripTimeMs 和测试结果指标。

指标根据监视频率生成，描述某个连接监视器在特定时间的情况。 连接监视器指标还具有多个维度，例如 SourceName、DestinationName、TestConfiguration 和 TestGroup。 可以使用这些维度来可视化特定的数据，以及在定义警报时将该数据用作目标。

Azure指标允许的最小粒度为1分钟。 如果频率小于 1 分钟，则会显示聚合结果。

使用指标时，请将资源类型设置为“Microsoft.Network/networkWatchers/connectionMonitors”。

基于指标的连接监视器警报

可使用以下方法在连接监视器上创建指标警报：

• 在创建连接监视器时，可以通过 Azure 门户在连接监视器中创建指标警报。

• 在连接监视器中使用仪表板的“配置警报”来创建指标警报。

• 在Azure监视器中，按照以下步骤创建指标警报：

  1. 选择在 Connection monitor 中创建的连接监视器资源。

  2. 确保已选择“Metric”作为连接监视器的信号类型。

  3. 在“添加条件”中，选择“ChecksFailedPercent”或“RoundTripTimeMs”作为“信号名称”。

  4. 在信号类型中，选择指标。 例如，选择“ChecksFailedPercent”。

  5. 将列出指标的所有维度。 选择维度名称和维度值。 例如，选择“源地址”，然后在连接监视器中输入任何源的 IP 地址。

  6. 在 警报逻辑中，输入以下值：

     • 条件类型：静态。
     • 条件和阈值 。
     • 聚合粒度和评估频率：连接监视器每分钟更新一次数据。

  7. 在“操作”中选择你的操作组。

  8. 提供警报详细信息。

  9. 创建警报规则。

     

诊断网络中的问题

连接监视器可以帮助你诊断连接监视器中的问题和网络中的问题。 前面安装的Log Analytics代理检测到混合网络中的问题。 Network Watcher扩展检测到Azure中的问题。

可以在网络拓扑中查看Azure网络的问题。

对于源为本地 VM 的网络，可以检测到以下问题：

• 请求已超时。
• DNS 未解析终结点 - 暂时或永久。 URL 无效。
• 无法找到主机。
• 源无法连接到目标。 无法通过 ICMP 访问目标。
• 与证书相关的问题：
  • 验证代理所需的客户端证书。
  • 无法访问证书吊销列表。
  • 端点的主机名与证书的主题或主题备用名称不匹配。
  • 源的本地计算机受信任的证书颁发机构存储中缺少根证书。
  • SSL 证书已过期、无效、吊销或不兼容。

对于源Azure VM 的网络，可以检测到以下问题：

• 代理问题：

  • 代理已停止。
  • DNS 解析失败。
  • 无应用程序或在目标端口上侦听的侦听器。
  • 无法打开套接字。

• 虚拟机状态问题：

  • 正在启动
  • 停止
  • 已停止
  • 正在解除分配
  • 已解除分配
  • 正在重新启动
  • 未分配

• 缺少 ARP 表条目。

• 由于本地防火墙问题或 NSG 规则，流量遭到阻止。

• 虚拟网络网关问题：

  • 缺少路由。
  • 两个网关之间的隧道已断开连接或处于缺失状态。
  • 隧道未找到第二个网关。
  • 无法找到对等信息。

  注意

  如果有两个连接的网关，并且其中一个网关与源终结点不在同一个区域，则连接监视器会在拓扑视图中将其标识为“未获知路由”。 连接不受影响。 这是一个已知问题，我们正在修复。

  • Microsoft Edge中缺少路线。
  • 由于系统路由或用户定义的路由 (UDR) 的原因，流量已停止。
  • 未在网关连接上启用边界网关协议 (BGP)。
  • 负载均衡器上的动态 IP 地址 (DIP) 探测功能失效。

比较Azure连接监视支持类型

只需单击一下鼠标，即可将测试从网络Performance Monitor和连接监视器（经典）迁移到最新的连接监视器，且不会停机。

迁移将有助于生成以下结果：

• 代理和防火墙设置按原样工作。 不需要进行任何更改。

• 现有的连接监视器已映射到“连接监视器”>“测试组”>“测试格式”。 通过选择 Edit，可以查看和修改最新连接监视器的属性，下载模板以更改连接监视器，并通过Azure Resource Manager提交它。

• Azure 虚拟机通过 Network Watcher 扩展将数据发送到工作区和指标系统。 连接监视器通过新指标（ChecksFailedPercent 和 RoundTripTimeMs）而不是旧指标（ProbesFailedPercent 和 AverageRoundtripMs）提供数据。 旧指标会迁移到新指标，例如 ProbesFailedPercent > ChecksFailedPercent 和 AverageRoundtripMs > RoundTripTimeMs。

• 数据监控

  • 警报：自动迁移到新指标。
  • 仪表板和集成：需要手动编辑指标集。

从网络性能监视器和连接监视器（经典版）迁移到连接监视器有几个原因。 下表列出了一些用例，显示了最新连接监视器与网络性能监视器和连接监视器（经典）的性能表现对比。

相关内容

• 若要了解如何创建连接监视器，请参阅使用 Azure 门户监视两个虚拟机之间的网络通信。
• 若要查找最常见问题的解答，请参阅连接监视器常见问题解答。
• 若要了解如何迁移到连接监视器，请参阅从连接监视器（经典）迁移和从网络性能监视器迁移测试。
• 若要了解连接监视器架构字段，请参阅连接监视器架构。