Conecte computadores sem acesso à Internet usando o gateway do Log Analytics no Azure Monitor

Este artigo descreve como configurar a comunicação com a Automação do Azure e com o Azure Monitor usando o gateway do Log Analytics quando os computadores conectados diretamente ou monitorados pelo Operations Manager não têm acesso à Internet.

O gateway do Log Analytics é um proxy de encaminhamento de HTTP que dá suporte ao túnel HTTP usando o comando HTTP CONNECT. Esse gateway envia dados para a Automação do Azure e um workspace do Log Analytics no Azure Monitor em nome dos computadores que não podem se conectar diretamente à Internet. O gateway é apenas para conectividade relacionada ao agente de log e não oferece suporte a recursos de automação do Azure, como runbook, DSC e outros.

O gateway do Log Analytics dá suporte a:

• Envio de relatórios para os mesmos workspaces do Log Analytics configurados em cada agente por trás deles e configurados com o Hybrid Runbook Workers da Automação do Azure.
• Computadores Windows nos quais o agente do Azure Monitor ou o Microsoft Monitoring Agent herdado está conectado diretamente a um workspace do Log Analytics no Azure Monitor. O servidor de origem e o gateway precisam estar executando o mesmo agente. Você não pode transmitir eventos de um servidor que executa o agente do Azure Monitor por meio de um servidor que executa o gateway com o agente do Log Analytics.
• Computadores Windows nos quais o agente do Azure Monitor ou o agente herdado do Log Analytics para Linux está conectado diretamente a um workspace do Log Analytics no Azure Monitor.
• System Center Operations Manager 2012 SP1 com UR7, Operations Manager 2012 R2 com UR3, ou um grupo de gerenciamento no Operations Manager 2016 ou posterior integrado ao Log Analytics.

Algumas políticas de segurança de TI não permitem a conexão com a Internet para computadores de rede. Esses computadores não conectados podem ser dispositivos de ponto de venda (POS) ou servidores que suportam serviços de TI, por exemplo. Para conectar esses dispositivos à Automação do Azure ou a um workspace do Log Analytics para que você possa gerenciá-los e monitorá-los, configure-os para se comunicarem diretamente com o gateway do Log Analytics. O gateway do Log Analytics pode receber informações de configuração e encaminhar dados em nome desses dispositivos. Se os computadores estiverem configurados com o agente do Log Analytics para se conectar diretamente a um workspace do Log Analytics, os computadores se comunicarão com o gateway do Log Analytics.

O gateway de Log Analytics transfere diretamente dados dos agentes para o serviço. Ele não analisa nenhum dos dados em trânsito e o gateway não armazena dados em cache quando perde a conectividade com o serviço. Quando o gateway está impossibilitado de se comunicar com o serviço, o agente continua em execução e coloca em fila os dados coletados no disco do computador monitorado. Quando a conexão é restaurada, o agente envia os dados armazenados em cache coletados para o Azure Monitor.

Quando um grupo de gerenciamento do Operations Manager é integrado com o Log Analytics, os servidores de gerenciamento podem ser configurados para se conectar ao gateway do Log Analytics para receber informações de configuração e enviar os dados coletados, dependendo da solução habilitada. Os agentes do Operations Manager envia alguns dados ao servidor de gerenciamento. Por exemplo, os agentes podem enviar alertas do Operations Manager, dados de avaliação da configuração, dados de espaço de instância e dados de capacidade. Outros dados de alto volume, como logs do IIS (Serviços de Informações da Internet), eventos de desempenho e de segurança, são enviados diretamente ao gateway do Log Analytics.

Se um ou mais servidores de Gateway do Operations Manager estiverem implantados para monitorar sistemas não confiáveis em uma rede de perímetro ou em uma rede isolada, esses servidores não podem se comunicar com um gateway do Log Analytics. Os servidores de Gateway do Operations Manager só podem se reportar a um servidor de gerenciamento. Quando um grupo de gerenciamento do Operations Manager é configurado para se comunicar com o gateway do Log Analytics, as informações de configuração de proxy são distribuídas automaticamente a todos os computadores gerenciados por agente configurados para coletar dados para o Azure Monitor, mesmo que a configuração esteja vazia.

Para fornecer alta disponibilidade a grupos do diretamente conectados ou do Operations Management que se comunicam com o workspace do Log Analytics pelo gateway, você pode usar o balanceamento de carga de rede (NLB) para redirecionar e distribuir o tráfego em vários servidores de gateway. Desse modo, se um servidor de gateway falhar, o tráfego será redirecionado para outro nó disponível.

O computador que executa o gateway de Log Analytics requer que o agente identifique os pontos de extremidade de serviço com os quais o gateway precisa se comunicar. O agente também precisa direcionar o gateway para reportar para os mesmos workspaces que com os quais os agentes ou o grupo de gerenciamento do Operations Manager por trás do gateway estão configurados. Essa configuração permite que o gateway e o agente se comuniquem com seu espaço de trabalho atribuído.

Um gateway pode ser de hospedagem múltipla para até dez espaços de trabalho usando o agente do Azure Monitor e as regras de coleta de dados. Usando o agente herdado do Microsoft Monitor, você só pode multihome até quatro espaços de trabalho, pois esse é o número total de espaços de trabalho aos quais o agente de Windows herdado dá suporte.

Cada agente deve ter conectividade de rede com seu gateway para que os agentes possam transferir dados automaticamente para dentro e para fora do gateway. Evite instalar o gateway em um controlador de domínio. Computadores Linux que estão por trás de um servidor de gateway não podem usar o método de instalação de script de wrapper para instalar o agente de Log Analytics para Linux. O agente deve ser baixado manualmente, copiado para o computador e instalado manualmente, pois o gateway só oferece suporte à comunicação com os serviços do Azure mencionados anteriormente.

O diagrama a seguir mostra o fluxo de dados dos agentes diretos, pelo gateway, para a Automação do Azure e para o Log Analytics. A configuração de proxy do agente deve corresponder à porta com a qual o gateway do Log Analytics está configurado.

O diagrama a seguir mostra o fluxo de dados de um grupo de gerenciamento do Operations Manager para o Log Analytics.

Configurar o backup do sistema

Os computadores determinados para executar o gateway do Log Analytics devem ter a seguinte configuração:

• Windows 10, Windows 8.1 ou Windows 7
• Windows Server 2019, Windows Server 2016, Windows Server 2012 R2, Windows Server 2012, Windows Server 2008 R2 ou Windows Server 2008
• Microsoft .NET Framework 4.5
• No mínimo um processador de 4 núcleos e 8 GB de memória
• Um agente do Azure Monitor instalado com as regras de coleta de dados configuradas ou o agente Log Analytics para Windows configurado para reportar para o mesmo espaço de trabalho que os agentes que se comunicam por meio do gateway

Disponibilidade de idiomas

O gateway do Log Analytics está disponível nos seguintes idiomas:

• Chinês (Simplificado)
• Chinês (Tradicional)
• Tcheco
• Holandês
• Inglês
• Francês
• Alemão
• Húngaro
• Italiano
• Japonês
• Coreano
• Polonês
• Português (Brasil)
• Português (Portugal)
• Russo
• Espanhol (internacional)

Protocolos de criptografia com suporte

O gateway Log Analytics suporta apenas Transport Layer Security (TLS) 1.0, 1.1, 1.2 e 1.3 Ele não oferece suporte ao protocolo SSL. Para garantir a segurança dos dados em trânsito para o Log Analytics, configure o gateway para utilizar pelo menos o TLS 1.3. Embora atualmente permitam compatibilidade com versões anteriores, evite usar versões mais antigas porque são vulneráveis.

Para obter informações adicionais, consulte Enviando dados com segurança usando TLS.

Número de conexões de agente com suporte

A tabela a seguir mostra aproximadamente quantos agentes podem se comunicar com um servidor de gateway. O suporte é baseado em agentes que carregam cerca de 200 KB de dados a cada 6 segundos. Para cada agente testado, o volume de dados é de, aproximadamente, 2,7 GB por dia.

Fazer download do gateway do Log Analytics

Obtenha a versão mais recente do arquivo de Instalação do gateway do Log Analytics no Centro de Download da Microsoft (Link para Download).

Instalar o gateway do Log Analytics usando o assistente de instalação

Para instalar um gateway usando o assistente de instalação, siga estas etapas.

1. Na pasta de destino, clique duas vezes em Log Analytics gateway.msi.

2. Sobre o boas-vindas página, selecione próxima.

   

3. Na página do Contrato de Licença, selecione Eu aceito os termos no Acordo de Licença para concordar com os Termos de Licença de Software da Microsoft, e, em seguida, selecione Próximo.

4. Na página Porta e endereço de proxy:

   a. Digite o número da porta TCP a ser usada para o gateway. A instalação usa esse número de porta para configurar uma regra de entrada no Firewall do Windows. O valor padrão é 8080. O intervalo válido do número da porta é de 1 a 65535. Se a entrada não estiver dentro desse intervalo, uma mensagem de erro será exibida.

   b. Se o servidor onde o gateway estiver instalado precisar se comunicar por meio de um proxy, insira o endereço do proxy onde o gateway precise para se conectar. Por exemplo, insira http://myorgname.corp.contoso.com:80. Se você deixar esse campo em branco, o gateway irá tentar se conectar diretamente à Internet. Se o servidor proxy exigir autenticação, insira um nome de usuário e senha.

   c. Selecione Avançar.

   

5. Se o Microsoft Update não estiver habilitado, a página Microsoft Update será exibida e você poderá optar por habilitá-lo. Faça uma seleção, e em seguida selecione Avançar. Caso contrário, prossiga para a próxima etapa.

6. Na página Pasta de Destino, deixe a pasta padrão C:\Arquivos de Programas\OMS Gateway ou insira o local em que deseja instalar o gateway. Em seguida, selecione Avançar.

7. Na página Pronto para instalar, selecione Instalar. Se o Controle de Conta de Usuário solicitar permissão para instalação, selecione Sim.

8. Após a conclusão da Instalação, selecione Concluir. Para verificar se o serviço está em execução, abra o snap-in services.msc e verifique se o Gateway do OMS aparece na lista de serviços e seu status está Em execução.

   

Instalar o gateway do Log Analytics usando a linha de comando

O arquivo baixado para o gateway é um pacote do Windows Installer que dá suporte à instalação silenciosa da linha de comando ou de outro método automatizado. Se você não estiver familiarizado com as opções de linha de comando padrão do Windows Installer, consulte Opções de linha de comando.

A tabela a seguir realça os parâmetros com suporte na instalação.

Para instalar silenciosamente o gateway e configurá-lo com um endereço de proxy específico, número da porta, digite o seguinte:

Msiexec.exe /I "oms gateway.msi" /qn PORTNUMBER=8080 PROXY="10.80.2.200" HASPROXY=1 LicenseAccepted=1 

O uso da opção de linha de comando /qn oculta a instalação, /qb mostra a instalação durante a instalação silenciosa.

Se você precisar fornecer credenciais para autenticar com o proxy, digite o seguinte:

Msiexec.exe /I "oms gateway.msi" /qn PORTNUMBER=8080 PROXY="10.80.2.200" HASPROXY=1 HASAUTH=1 USERNAME="<username>" PASSWORD="<password>" LicenseAccepted=1 

Após a instalação, você pode confirmar que as configurações estejam aceitas (excluindo o nome de usuário e a senha) usando os seguintes cmdlets do PowerShell:

• Get-OMSGatewayConfig – Retorna a porta TCP que o gateway está configurado para escutar.
• Get-OMSGatewayRelayProxy – Retorna o endereço IP do servidor proxy com o qual você o configurou para se comunicar.

Configurar o balanceamento de carga de rede

Você pode configurar o gateway para alta disponibilidade com NLB (balanceamento de carga de rede), usando o Balanceamento de Carga de Rede (NLB), o Azure Load Balancer ou balanceadores de carga com base em hardware. O balanceador de carga gerencia o tráfego redirecionando as conexões solicitadas dos servidores de gerenciamento do Operations Manager ou de agentes do Log Analytics entre seus nós. Se um servidor de Gateway falhar, o tráfego será redirecionado para outros nós.

Balanceamento de Carga de Rede da Microsoft

Para saber como projetar e implantar um cluster de balanceamento de carga de rede Windows Server 2016, confira Balanceamento de carga de rede. As etapas a seguir descrevem como configurar uma cluster de balanceamento de carga de rede Microsoft Network.

1. Entre no servidor Windows que seja membro do cluster NLB com uma conta administrativa.

2. Abra o Gerenciador de Balanceamento de Carga de Rede no gerenciador de servidores, clique em Ferramentase clique em Gerenciador de Balanceamento de Carga de Rede.

3. Para conectar um servidor do gateway do Log Analytics ao Microsoft Monitoring Agent instalado, clique com o botão direito do mouse no endereço IP do cluster e clique em Adicionar Host ao Cluster.

   

4. Digite o endereço IP do servidor de gateway que deseja conectar.

   

Azure Load Balancer

Para saber como projetar e implantar um Azure Load Balancer, confira O que é o Azure Load Balancer?. Para implantar um balanceador de carga básico, siga as etapas descritas neste início rápido, excluindo as etapas descritas na seção Criar servidores de back-end.

Depois que o balanceador de carga é criado, um pool de back-end precisa ser criado, o que distribui o tráfego para um ou mais servidores de gateway. Siga as etapas descritas no artigo de início rápido, na seção Criar recursos para o balanceador de carga.

Configurar o agente do Azure Monitor para se comunicar usando o gateway do Log Analytics

Para configurar o agente de Azure Monitor (instalado no servidor de gateway) a fim de usar o gateway para carregar dados para Windows ou Linux:

1. Siga as instruções para definir as configurações de proxy no agente e fornecer o endereço IP e o número da porta correspondente ao servidor de gateway. Se você implantou vários servidores de gateway por trás de um balanceador de carga, a configuração de proxy do agente é o endereço IP virtual do balanceador de carga.
2. Adicionar a URL do ponto de extremidade de configuração para buscar regras de coleta de dados na lista de permitidos do gateway
   Add-OMSGatewayAllowedHost -Host global.handler.control.monitor.azure.com
Add-OMSGatewayAllowedHost -Host <gateway-server-region-name>.handler.control.monitor.azure.com
   (Se estiver usando links privados no agente, você também deverá adicionar os pontos de extremidade do DCE)
3. Adicionar a URL do ponto de extremidade de ingestão de dados à lista de permitidos do gateway
   Add-OMSGatewayAllowedHost -Host <log-analytics-workspace-id>.ods.opinsights.azure.com
4. Reinicie o serviço do gateway do OMS para aplicar as alterações
   Stop-Service -Name <gateway-name>
Start-Service -Name <gateway-name>

Configurar o agente do Log Analytics e o grupo de gerenciamento do Operations Manager

Nesta seção, você verá como configurar agentes herdados do Log Analytics, um grupo de gerenciamento do Operations Manager ou o Hybrid Runbook Workers da Automação do Azure conectados diretamente ao gateway do Log Analytics para se comunicar com a Automação do Azure ou com o Log Analytics.

Configurar um agente do Log Analytics autônomo

Ao configurar o agente herdados do Log Analytics, substitua o valor do servidor proxy pelo endereço IP do servidor de gateway do Log Analytics e seu número de porta. Se você implantou vários servidores de gateway por trás de um balanceador de carga, a configuração de proxy do agente do Log Analytics é o endereço IP virtual do balanceador de carga.

Depois de instalar o agente no servidor do gateway, você pode configurá-lo para relatar para o workspace ou para agentes do workspace que se comuniquem com o gateway. Se o agente do Windows do Log Analytics não estiver instalado no gateway, o evento 300 será gravado no log de eventos do Gateway do OMS, indicando que o agente precisa ser instalado. Se o agente estiver instalado, mas não configurado para relatar para o mesmo workspace que os agentes que se comunicam por meio dele, o evento 105 será gravado no mesmo log de eventos, indicando que o agente no gateway precisa ser configurado para relatar para o mesmo workspace que os agentes que se comunicam com o gateway.

Depois de concluir a configuração, reinicie o serviço Gateway do OMS para aplicar as alterações. Caso contrário, o gateway rejeitará os agentes que tentarem se comunicar com o Log Analytics e relatará o evento 105 no log de eventos do Gateway do OMS. Isso também acontece quando você adicionar ou remover um workspace da configuração do agente no servidor de gateway.

Para obter informações relacionadas ao Hybrid Runbook Worker da Automação, consulte Automatizar recursos em seu datacenter ou nuvem usando o Hybrid Runbook Worker.

Configurar o Operations Manager, onde todos os agentes usem o mesmo servidor proxy

A configuração do proxy do Operations Manager é aplicada automaticamente a todos os agentes que se reportam ao Operations Manager, mesmo se a configuração está vazia.

Para usar o Gateway do OMS para dar suporte ao Operations Manager, você precisa ter:

• Microsoft Monitoring Agent (versão 8.0.10900.0 ou posterior) instalado no servidor do Gateway do OMS e configurado com os mesmos workspaces do Log Analytics aos quais o grupo de gerenciamento está configurado para se relatar.
• Conectividade com a Internet. Como alternativa, o Gateway do OMS deve estar conectado a um servidor proxy que esteja conectado à Internet.

Se o grupo de gerenciamento do Operations Manager estiver sendo registrado com um workspace do Log Analytics pela primeira vez, você não verá a opção para especificar a configuração de proxy para o grupo de gerenciamento no console de operações. Essa opção só estará disponível se o grupo de gerenciamento tiver sido registrado com o serviço.

Para configurar a integração, atualize a configuração de proxy do sistema usando o Netsh no sistema no qual você executa o console de Operações e em todos os servidores de gerenciamento no grupo de gerenciamento. Siga estas etapas:

1. Abra um prompt de comando com privilégios elevados:

   a. Selecione Iniciar e insira cmd.

   b. Clique com o botão direito do mouse no Prompt de Comando e selecione Executar como administrador.

2. Insira o seguinte comando:

   netsh winhttp set proxy <proxy>:<port>

Depois de concluir a integração com o Log Analytics, remova a alteração executando netsh winhttp reset proxy. Em seguida, no console de Operações, use a opção Configurar servidor de proxy para especificar o servidor de gateway do Log Analytics.

1. Abra o console do Operations Manager e, em Operations Management Suite, selecione Conexão, e, em seguida, selecione Configurar o Servidor Proxy.

   

2. Selecione Usar um servidor proxy para acessar o Operations Management Suite e, em seguida, digite o endereço IP do servidor do gateway do Log Analytics ou o endereço IP virtual do balanceador de carga. Tenha cuidado ao começar com o prefixo http://.

   

3. Selecione Concluir. O grupo de gerenciamento do Operations Manager agora está configurado para se comunicar por meio do servidor de gateway para o serviço de Log Analytics.

Configurar o Operations Manager, no qual os agentes específicos usem um servidor proxy

Para ambientes grandes ou complexos, você talvez queira que somente servidores (ou grupos) específicos usem o servidor de gateway do Log Analytics. Para esses servidores, você não pode atualizar o agente do Operations Manager diretamente, pois esse valor é substituído pelo valor global do grupo de gerenciamento. Em vez disso, substitua a regra usada para enviar esses valores.

Para configurar servidores ou grupos específicos para usar o servidor de gateway do Log Analytics:

1. Abra o console do Operations Manager e selecione o workspace Criação .

2. No workspace de Criação, selecione Regras.

3. Na barra de ferramentas do Operations Manager, selecione o botão Escopo. Se esse botão não estiver disponível, verifique se você selecionou um objeto, e não uma pasta, no painel Monitoramento. A caixa de diálogo Delimitar Objetos do Pacote de Gerenciamento exibe uma lista de objetos, grupos ou classes comuns de destino.

4. No campo Procurar, digite Serviço de Integridade e selecione-o na lista. Selecione OK.

5. Pesquise por Regra de Configuração de Proxy do Assistente do Azure.

6. Na barra de ferramentas do Operations Manager, selecione Substituições e aponte para Substituir a Regra\Para um objeto específico da classe: Serviço de Integridade e selecione um objeto da lista. Ou crie um grupo personalizado que contenha o objeto do serviço de integridade dos servidores ao qual você deseja aplicar essa substituição. Em seguida, aplique a substituição ao seu grupo personalizado.

7. Na caixa de diálogo Propriedades da Substituição, deixe marcada a caixa de seleção da coluna Substituir ao lado do parâmetro WebProxyAddress. No campo Valor de Substituição, insira a URL do servidor do gateway do Log Analytics. Tenha cuidado ao começar com o prefixo http://.

   Observação

   Você não precisa habilitar a regra. Ela está sendo gerenciada automaticamente com uma substituição no pacote de gerenciamento do Secure Reference Override do Assistente do Azure no Microsoft System Center direcionado ao grupo do servidor de monitoramento do Assistente do Azure no Microsoft System Center.

8. Selecione um pacote de gerenciamento da lista Selecionar pacote de gerenciamento de destino, ou crie um novo pacote de gerenciamento não selado selecionando Novo.

9. Quando terminar, selecione OK.

Configurar o Hybrid Runbook Workers para Automação

Se você tiver um Hybrid Runbook Workers de Automação em seu ambiente, siga estas etapas para configurar o gateway para dar suporte aos trabalhos.

Consulte a seção Configurar sua rede da documentação de Automação para encontrar a URL para cada região.

Se o computador estiver registrado automaticamente como um Hybrid Runbook Worker, por exemplo, se a solução Gerenciamento de Atualizações está habilitada para uma ou mais VMs, siga estas etapas:

1. Adicione as URLs de serviço de dados de runtime do trabalho à lista Hosts Permitidos no gateway do Log Analytics. Por exemplo: Add-OMSGatewayAllowedHost we-jobruntimedata-prod-su1.azure-automation.net
2. Reinicie o serviço do gateway do Log Analytics usando o seguinte cmdlet do PowerShell: Restart-Service OMSGatewayService

Se o computador tiver ingressado na Automação do Azure usando o cmdlet de registro do Hybrid Runbook Worker, siga estas etapas:

1. Adicione a URL do registro de serviço do agente à lista Hosts Permitidos no gateway do Log Analytics. Por exemplo: Add-OMSGatewayAllowedHost ncus-agentservice-prod-1.azure-automation.net
2. Adicione as URLs de serviço de dados de runtime do trabalho à lista Hosts Permitidos no gateway do Log Analytics. Por exemplo: Add-OMSGatewayAllowedHost we-jobruntimedata-prod-su1.azure-automation.net
3. Reinicie o serviço do gateway do Log Analytics. Restart-Service OMSGatewayService

Cmdlets úteis do PowerShell

Você pode usar cmdlets para concluir as tarefas para atualizar as definições de configuração do gateway do Log Analytics. Antes de usar cmdlets, não se esqueça de:

1. Instalar o gateway do Log Analytics (Microsoft Windows Installer).
2. Abra uma janela do console do PowerShell.
3. Importar o módulo, digitando este comando: Import-Module OMSGateway
4. Se nenhum erro tiver ocorrido na etapa anterior, o módulo foi importado com êxito, e os cmdlets poderão ser usados. Inserir Get-Module OMSGateway
5. Depois de usar cmdlets para fazer alterações, reinicie o serviço de Gateway do OMS.

Um erro na etapa 3 significa que o módulo não foi importado. O erro pode ocorrer quando o PowerShell não puder localizar o módulo. É possível encontrar o módulo no caminho de instalação do Gateway do OMS: C:\Arquivos de Programas\Microsoft OMS Gateway\PowerShell\OmsGateway.

Solução de problemas

Para coletar eventos registrados pelo gateway, você deve ter instalado também o agente do Log Analytics.

IDs e descrições dos eventos do gateway do Log Analytics

A tabela a seguir mostra as IDs e descrições de eventos dos eventos de log do gateway do Log Analytics.

Contadores de desempenho a serem coletados

A tabela a seguir mostra os contadores de desempenho disponíveis para o gateway do Log Analytics. Use o Monitor de Desempenho para adicionar contadores.

Assistência

Ao entrar no portal do Azure, você pode obter ajuda com o gateway do Log Analytics ou com qualquer outro serviço ou recurso do Azure. Para obter ajuda, selecione o ponto de interrogação no canto superior direito do portal e selecione Nova solicitação de suporte. Em seguida, conclua o novo formulário de solicitação de suporte.

Próximas etapas

Adicionar fontes de dados para coletar dados de fontes conectadas e armazená-los no seu workspace do Log Analytics.