azure : Web App that connects to Cosmos DB using Private Endpoint returns 'The SSL connection could not be established, see inner exception.'

Question

我在 Azure 中部署了一个 Web 应用程序，该应用程序使用专用终结点连接到 Cosmos DB 时抛出以下错误

'The SSL connection could not be established, see inner exception.'

The remote certificate is invalid according to the validation procedure: RemoteCertificateNameMismatch

Cosmos DB

私有(private)端点

私有(private) DNS 条目

Web 应用程序配置

堆栈跟踪:

FBAuthDemoAPI.Controllers.FamilyController:    at System.Net.Http.ConnectHelper.EstablishSslConnectionAsync(SslClientAuthenticationOptions sslOptions, HttpRequestMessage request, Boolean async, Stream stream, CancellationToken cancellationToken)at System.Net.Http.HttpConnectionPool.ConnectAsync(

Answer 1

我认为问题在于 CosmosDB 端点 URL 指向 https://family.privatelink.documents.azure.com/，而它应该指向“正常”DNS 名称，而不需要privatelink 部分。

如果为专用链接正确设置了 DNS，则解析普通公共(public)端点将返回专用 IP 地址 - 请参阅下面的存储帐户端点示例:

引用:https://github.com/dmauser/PrivateLink/tree/master/DNS-Integration-Scenarios

证书错误可能是由于 Web 应用程序上配置的端点(专用链接 DNS 名称)与反射(reflect)正常公共(public)端点名称的证书之间的名称不匹配造成的。

因此，如果 family.documents.azure.com 是您的 CosmosDB 帐户名，则应使用该名称连接到数据库。

为了测试名称解析是否适用于您的 WebApp 以及测试 CosmosDB 端点名称是否正确解析，您可以使用内置控制台。

To get to the Azure portal-hosted console from your app, go to Tools > Console.In native Windows apps, the tools ping, nslookup, and tracert won't work through the console because of security constraints (they work in custom Windows containers). To fill the void, two separate tools are added. To test DNS functionality, we added a tool named nameresolver.exe. The syntax is:nameresolver.exe hostname

Reference: https://learn.microsoft.com/en-us/azure/app-service/overview-vnet-integration#troubleshooting

因此，如果下面的 URL 是 CosmosDB 的端点并且专用端点的 DNS 设置正确，则此命令应返回专用 IP 地址:

nameresolver.exe family.documents.azure.com

另请注意，您的 WebApp 需要使用 VNET Integration 正确集成到 VNET 中。 ，否则这将不起作用(但如果不是这种情况，我预计会出现不同的错误)。