変更要約: AZ-700 第4章を深掘り（図ja化・比較表/シナリオ/FAQ/ひっかけ/深掘り段落を全節に追加）
4.2Network Watcher によるネットワーク監視
ネットワークの可視化・診断を担う Azure Network Watcher を理解します。接続モニター・NSG 診断（フローログ）・IP フロー検証・ネクストホップ などの診断ツールでトラブルシュートを行います。
ネットワークの問題は「どこで止まっているか」の切り分けが鍵です。Network Watcher は接続性や経路、NSG の許可/拒否を可視化・診断するツール群を提供します。
4.2.1Network Watcher の診断ツール
- 接続モニター（Connection Monitor）：エンドポイント間の到達性・遅延を継続監視する。
- IP フロー検証：特定の送信元/宛先/ポートが NSG で許可/拒否されるかを判定する。
- ネクストホップ：あるパケットの次のホップ（経路）を表示し、UDR の問題を切り分ける。
- NSG フローログ：通過/拒否されたトラフィックを記録し、分析（トラフィック分析）に使う。※NSG フローログは廃止予定で、現行は VNet フローログ へ移行（Traffic Analytics 対応）。
「到達性/遅延の継続監視＝接続モニター」「NSG が許可/拒否するか確認＝IP フロー検証」「経路（次ホップ）の確認＝ネクストホップ」「通過/拒否ログ＝NSG フローログ」 は AZ-700 で頻出です。「NSG で止まっている？経路の問題？」の切り分けに対応する診断を選べるようにしましょう。
Network Watcher はリージョンごとに自動で有効化され、用途別に道具が分かれます。IP フロー検証 は適用される NSG 規則名まで返すので「どの規則で落ちているか」を即特定でき、有効なセキュリティ規則 はサブネットと NIC の NSG を合成した最終的な許可/拒否を一覧します。経路の問題は ネクストホップ で実際の次ホップ（仮想アプライアンス/ゲートウェイ/インターネット/なし）を確認し、UDR の誤りを切り分けます。継続的な品質監視は 接続モニター（複数ソース→宛先の到達性・遅延・パケットロスを時系列で）で、NSG フローログ（現在は VNet フローログ へ移行が進む）は通過/拒否トラフィックを Storage に記録し、Traffic Analytics で可視化します。さらに パケットキャプチャ（VM の通信を pcap で取得）、接続トラブルシューティング（単発の到達性テスト）、トポロジ（リソースの関係図）も提供します。これらは Azure Monitor／Log Analytics と連携し、アラートやダッシュボードに繋げられます。
| 症状 | 使うツール | 分かること |
|---|---|---|
| 特定通信が通らない | IP フロー検証 | どの NSG 規則で許可/拒否か |
| 宛先に届かない（経路？） | ネクストホップ | 実際の次ホップ（UDR の誤り） |
| 遅延・断続的なロス | 接続モニター | 到達性・遅延・ロスの時系列 |
| 通信の記録・傾向分析 | NSG(VNet) フローログ＋Traffic Analytics | 通過/拒否の記録と可視化 |
シナリオ： ある VM から DB へ接続できない。NSG が原因か経路が原因か切り分けたい。→ まず IP フロー検証で「送信元 VM・宛先 DB・ポート」が NSG で許可/拒否されるか（規則名つき）を確認。許可なら次にネクストホップで実際の次ホップを見て、UDR が誤って NVA/None に向いていないかを確認します。
FAQ： Q. IP フロー検証と NSG フローログの違いは？ → A. IP フロー検証は「今この条件が許可/拒否か」を即判定する単発テスト、フローログは実トラフィックを継続記録して分析する用途です。Q. VM の実際のパケットを見たい時は？ → A. パケットキャプチャで pcap を取得し、必要なら外部ツールで解析します。
ひっかけ： 「接続モニターで NSG が許可/拒否しているかを判定する」は誤りです。NSG の許可/拒否判定は IP フロー検証。接続モニターは到達性・遅延の継続監視が役割です。また「ネクストホップで NSG の規則が分かる」も誤り（次ホップ＝経路の確認で、規則は IP フロー検証/有効なセキュリティ規則）。
4.2.2この節のまとめ
- Network Watcher＝接続モニター・IP フロー検証・ネクストホップ・フローログ
- 症状に応じて適切な診断ツールを選ぶ
進捗の記録にはログインが必要です。
理解度チェック
（軽い確認用）Q1. 特定の送信元/宛先/ポートの通信が NSG によって許可されるか拒否されるかを確認したい。Network Watcher のどの機能ですか？
Q2. エンドポイント間の到達性や遅延を継続的に監視したい。Network Watcher のどの機能ですか？
Q3. あるパケットが実際にどの経路（次のホップ）へ向かうかを確認し、UDR の問題を切り分けたい。何を使いますか？