Azure Firewall での top flows と Flow trace の取得方法について

はじめに

Azure Firewall にてフロートレース (Flow trace) を取得する機能が 2024年2月13日に GA となりました (2024年2月13日)。ただ 公式Docs の手順が少しわかりにくいです。。そのため、実際に検証を行いログの出力確認を行ったので、その時の内容を簡単に纏めたいと思います

補足

• 公式Docsには上位のフロー (Top flows) と フロートレース (Flow trace) の2つのログを取得する手順が纏めて記載されている（トラブルシューティングの場合は両方のログを取得して分析を行うと思うので纏めるのもわかるが、これがややこしい原因の1つのような気がする。。）

• Top flows では Azure Firewall での上位フロー情報を取得できる

• Flow trace では TCP ハンドシェイクの完全なパケットのやり取りの情報を取得できる

  • Azure Firewallのログは TCP 接続の最初の試行時のパケット (SYNパケット) が表示されるため、TCP通信の全体を確認することができない (= 非対称ルーティングが発生した場合のトラブルシューティングが困難となる。そのような場合に利用するのが Flow trace ログとなる)

• 本記事では Flow trace がメインとなるが、公式Docs の手順では Top flows -> Flow trace という順番で記載されているので、本記事でもそのような順番で記載している

トラシュー時にのみ有効化する

Azure Firewall の過剰な CPU 使用率を回避するために、特定の問題のトラブルシューティングを行う場合にのみ、Top flows や Flow trace をアクティブ化する

追記

本記事では手順をメインに記載していますが、zukakoさんの Azure Firewall のフロー トレースログでトラブルシューティングがどう変わるか では実際のトラブルシューティングの例なども記載されているので、そちらも参考にしていただくと利用イメージが湧きやすいかと思います

1. Top flows ログの出力設定

1-1. Top flows ログの有効化

• 以下コマンドを実行し Top flows ログを有効にする ( Azure PowerShell )

Set-AzContext -SubscriptionName <subscription_id> or <subscription_name>
$firewall = Get-AzFirewall -ResourceGroupName <ResourceGroupName> -Name <FirewallName>
$firewall.EnableFatFlowLogging = $true
Set-AzFirewall -AzureFirewall $firewall

• Top flows ログが有効化されたことを確認
  • EnableFatFlowLogging : True となっていること

Get-AzFirewall -Name <FirewallName> -ResourceGroupName <ResourceGroupName> |select *

1-2. 診断設定 (ログ転送設定)

• Azure Firewall にて診断設定を行う
  

1-3. Top Flows ログの確認

• ログ転送先の Log Analytics にて Top flows ログを表示する (入力クエリ：AZFWFatFlow)
  

2. Top flows ログの出力停止

2-1. Top flows ログの無効化

• 以下コマンドを実行し、Top flows ログを無効にする ( Azure PowerShell )

Set-AzContext -SubscriptionName <subscription_id> or <subscription_name>
$firewall = Get-AzFirewall -ResourceGroupName <ResourceGroupName> -Name <FirewallName>
$firewall.EnableFatFlowLogging = $false
Set-AzFirewall -AzureFirewall $firewall

• Top flows ログが無効化されたことを確認
  • EnableFatFlowLogging : False となっていること

Get-AzFirewall -Name <FirewallName> -ResourceGroupName <ResourceGroupName> |select *

2-2. Top Flows ログの確認

• ログ転送先の Log Analytics にて Top flows ログの表示し、ログの転送が止まっていることを確認する (入力クエリ：AZFWFatFlow)

3. Flow trace ログの出力設定

3-1. Flow trace ログの有効化

• 以下コマンドを実行し Flow trace ログを有効にする ( Azure PowerShell )

Select-AzSubscription -Subscription <subscription_id> or <subscription_name>
Register-AzProviderFeature -FeatureName AFWEnableTcpConnectionLogging -ProviderNamespace Microsoft.Network
Register-AzResourceProvider -ProviderNamespace Microsoft.Network

• 以下コマンドを実行し Flow trace ログが有効化されたことを確認する
  • RegistrationState : Registered となっていること

Get-AzProviderFeature -FeatureName "AFWEnableTcpConnectionLogging" -ProviderNamespace "Microsoft.Network" 

Azure Portal では「プレビュー機能」から有効化を行う。GAされていることと CLI では Register-AzProviderPreviewFeature ではなく Register-AzProviderFeature を利用しているため、まだ Azure Portal 側の変更が追い付いていない可能性がある

Azure Portal での Flow trace ログの有効化する手順は以下の通り

3-2. 診断設定 (ログ転送設定)

• Azure Firewall にて診断設定を行う
  

本記事では Top flows ログと Flow trace ログで診断設定を分けるような形で記載しているが、実際は作成する診断設定は1つとなる（1つの診断設定の中で Top flows ログや Flow trace ログのチェックを入れるような形）

3-3. Flow trace ログの確認

• ログ転送先の Log Analytics にて Flow trace ログを表示する (入力クエリ：AZFWFlowTrace)
  

Flow trace ログが転送されない時は？

私の環境では Flow trace ログの有効化や転送設定を行ってもログが転送されませんでした。暫く待ってもログが表示されない場合は Azure Firewall に対して更新を行う作業を実施してみてください。なお、私が試した Azure Firewall の更新作業は以下です

1. Top flows ログの有効化/無効化
2. Azure Firewall の停止/起動

※ 診断設定の 削除 -> 作成 でもいけるかなと思ったのですが、私の環境では変化なしでした
※ Top flows ログは設定を実施するだけでログが転送されました

4. Flow trace ログの出力停止

4-1. Flow trace ログの無効化

• 以下コマンドを実行し、Flow trace ログを無効にする ( Azure PowerShell )

Select-AzSubscription -Subscription <subscription_id> or <subscription_name>
Unregister-AzProviderFeature -FeatureName AFWEnableTcpConnectionLogging -ProviderNamespace Microsoft.Network

• Flow trace ログが無効化されたことを確認
  • RegistrationState : Unregistering となっていること

Get-AzProviderFeature -FeatureName "AFWEnableTcpConnectionLogging" -ProviderNamespace "Microsoft.Network"

4-2. Flow trace ログの確認

• ログ転送先の Log Analytics にて Flow trace ログの表示し、ログの転送が止まっていることを確認する (入力クエリ：AZFWFlowTrace)

Flow trace ログ転送が止まらない時は？

ログ転送設定時と同様にログ転送を止める場合も、私の環境では Flow trace ログを無効化してもログ転送が止まりませんでした。暫く待ってもログ転送が止まらない場合は Azure Firewall に対して更新を行う作業を実施してみてください。なお、私が試した Azure Firewall の更新作業は以下です

1. Top flows ログの有効化/無効化
2. Azure Firewall の停止/起動

※ 診断設定の 削除 -> 作成 でもいけるかなと思ったのですが、私の環境では変化なしでした
※ Top flows ログは無効化を行うだけでログ転送が停止しました

まとめ

今回は Azure Firewall にてフロートレース (Flow trace) を取得する方法について纏めました。Flow trace のログ転送を行うために Azure Firewall に対して更新作業が必要だったりと、まだ少し動作が不安定な部分があるように感じます。基本的にトラブルシューティングの際に利用する機能となりますが、本番環境で実施する前にまずは検証環境にて動作確認を行っていただいた方がよろしいかと思います

Appendix

Azure の更新情報

https://azure.microsoft.com/ja-jp/updates/azure-firewall-flow-trace-logs-and-autoscaling-based-on-number-of-connections-and-are-now-generally-available/

公式Docs

https://learn.microsoft.com/ja-JP/azure/firewall/enable-top-ten-and-flow-trace#flow-trace

ログリファレンス

https://learn.microsoft.com/ja-jp/azure/azure-monitor/reference/tables/azfwfatflow

https://learn.microsoft.com/ja-jp/azure/azure-monitor/reference/tables/azfwflowtrace

参考にした記事

https://techcommunity.microsoft.com/t5/azure-network-security-blog/announcing-new-monitoring-and-scaling-updates-in-azure-firewall/ba-p/4055166