Azure容器应用中前端gRPC客户端无法连接后端服务求助

部署环境与架构 #

• 所有组件部署在Azure同一虚拟网络vnet1内
• 技术栈：Go语言，gRPC实现客户端-服务端通信，本地测试完全正常
• 架构组成：
  • Azure MySQL数据库
  • 后端服务容器应用
  • 前端服务容器应用
  • API网关（作为前端公网访问入口）
• 前后端容器位于**同一容器应用环境containerAppEnv1**内
• 请求流程：

*Within a virtual network
                 The API Gateway acts as the public access point*
                 ----------------------------------------------------------------
                |                *within the same container app environment*     |
                |                ----------------------------------------        |
user_browser -> | API Gateway -> | frontendContainer -> backendContainer | -> DB |
                |                ----------------------------------------        |
                 ----------------------------------------------------------------

• 配置了通配符专用DNS区域，将azurecontainerapps.io映射到containerAppEnv1的静态IP，预期通过容器FQDN实现路由

问题详情 #

前端容器内的gRPC客户端无法与后端容器的gRPC服务端建立连接/调用，具体表现：

1. 数据库、后端容器、API网关均正常运行：
   • 数据库可公网访问验证
   • 后端容器日志显示已成功连接数据库
   • 前端网站可通过API网关正常公网访问
2. 后端容器Ingress配置（通过az containerapp show获取）：

{
  "additionalPortMappings": null,
  "allowInsecure": true,
  "clientCertificateMode": "Ignore",
  "corsPolicy": null,
  "customDomains": null,
  "exposedPort": 0,
  "external": true,
  "fqdn": "{redacted}",
  "ipSecurityRestrictions": null,
  "stickySessions": {
    "affinity": "none"
  },
  "targetPort": 8080,
  "traffic": [
    {
      "latestRevision": true,
      "weight": 100
    }
  ],
  "transport": "Http2"
}

3. 前端gRPC连接代码：

// Set up a connection to the backend server.
conn, err := grpc.Dial(cfg.BackendURL, grpc.WithTransportCredentials(insecure.NewCredentials()))
if err != nil {
    log.Fatalf("did not connect: %v", err)
}
onboardingClient = onboardingpb.NewOnboardingServiceClient(conn)

4. 错误信息：
   • 连接创建无报错，但首次调用时出现：

     Error: {"message": "connection error: desc = "transport: Error while dialing: dial tcp {containerAppEnvironmentStaticIpAddress}:8080: i/o timeout""}
     

   • 若阻塞等待连接建立，前端Pod崩溃循环，Web控制台显示：

     upstream connect error or disconnect/reset before headers. retried and the latest reset reason: connection termination
     

已验证项 #

• 后端容器正常运行，8080端口已监听
• 前端容器正常运行
• 前后端处于同一容器应用环境和VNet
• 后端已启用Ingress
• 前端请求目标为容器应用环境静态IP+8080端口，符合预期路由逻辑
• 本地运行全流程正常

排查与解决方案建议 #

1. 切换为容器应用内部通信域名 #

Azure容器应用环境内的服务间通信，优先使用内部FQDN而非环境静态IP+端口。同一环境内的容器应用可直接通过{app-name}.{environment-name}.azurecontainerapps.io访问，无需走外部Ingress转发。

修改前端的cfg.BackendURL为后端容器的fqdn字段值，替代当前的静态IP+8080组合，避免不必要的外部网络跳转导致超时。

2. 验证gRPC的HTTP/2兼容性 #

尽管后端Ingress设置了transport: Http2，仍需确认：

• 后端gRPC服务监听地址为0.0.0.0:8080（而非127.0.0.1:8080，否则仅容器内部可访问）
• 前端grpc.Dial可显式指定HTTP/2相关配置，比如添加grpc.WithDefaultCallOptions(grpc.ForceCodec(proto.NewCodec()))确保协议匹配

3. 检查内部流量访问权限 #

当前后端Ingress的external: true仅开启外部访问，需确认同一容器环境内的内部流量是否被允许：

• 检查后端容器是否配置了ipSecurityRestrictions，若有需添加前端容器所在网段的允许规则
• 在前端容器内执行curl -v http://{backend-fqdn}:8080或grpcurl工具，直接测试连通性，定位是DNS解析、端口还是协议问题

4. 确认DNS解析正确性 #

在前端容器内执行nslookup {backend-fqdn}，检查解析结果是否为后端容器的内部IP：

• 如果解析到环境静态IP，说明通配符DNS区域配置覆盖了内部DNS，导致流量走外部路由，需调整DNS优先级或改用内部域名

内容的提问来源于stack exchange，提问作者Saad Siddiqui