通过专用链接的 Azure 应用服务到应用服务通信

Question

我有一个带有两个应用服务的 Azure 应用。应用服务 A 调用应用服务 B 上的 API。

我想使用专用链接来确保它们之间的流量是专用的，而不是通过公共(public) IP。这就是我所做的:

1. 创建了新的 VNet

2. 通过私有(private) DNS 集成配置从两个应用服务到新 VNet 的私有(private)端点

3. 确保私有(private) DNS 已创建、链接到新的 VNet，并且两项服务均已在其中注册。

4. 确保这两项服务都无法公开访问(我收到 403)

5. 用于测试:在 VNet 中创建了一个新 VM，并确保我可以从 VM 浏览到服务。工作正常。我使用原始 URL 浏览了这些服务:serviceX.azurewebsites.net。

但是，当我尝试从服务 A 调用服务 B 时(使用相同的 URL - serviceb.azurewebsites.net)，我收到 403(禁止)。

我错过了什么？

如何使通过专用链接连接到同一 VNet 的两个应用服务相互连接？

Answer 1

在这种情况下，您可能需要 integrate your app with an Azure virtual network并且集成子网需要同一 VNet 中未使用的子网。

来自Using Private Endpoints for Azure Web App ,

Private Endpoint is only used for incoming flows to your Web App. Outgoing flows will not use this Private Endpoint, but you can injectoutgoing flows to your network in a different subnet through the VNetintegration feature.

另外，请注意

If you route all of your outbound traffic into your VNet, it's subjectto the NSGs and UDRs that are applied to your integration subnet. Whenyou route all of your outbound traffic into your VNet, your outboundaddresses are still the outbound addresses that are listed in your appproperties unless you provide routes to send the traffic elsewhere.

此外，如果您在应用设置中将 WEBSITE_VNET_ROUTE_ALL 设置为 1，您的所有出站调用都会受到影响，并且如果您想让您的应用使用 Azure DNS 专用区域，您应该将 WEBSITE_DNS_SERVER 设置为值 168.63.129.16。