Azure Frontdoor+PrivateLink场景下健康探测DNS解析与配置咨询

1. Front Door 解析 test.example.com 的方式 #

Azure Front Door 默认使用公网DNS服务器解析源站域名，但如果你已经配置了指向AKS的PrivateLink连接，Front Door会优先通过PrivateLink的私有IP访问AKS，而非使用公网解析得到的IP。此时源站域名test.example.com主要用于HTTPS证书的主题名验证，而非路由寻址。

2. 是否会引发环路问题 #

不会出现环路。原因是：

• 尽管test.example.com的公网CNAME指向Front Door端点，但Front Door内部会识别到该源站已关联PrivateLink连接，直接通过私有链路访问AKS的后端服务，不会发起公网请求到自身端点。
• 只有当PrivateLink连接失效时，Front Door才会尝试使用公网解析的IP，但此时如果你的AKS服务未暴露公网，请求会失败（这也符合故障转移的预期）。

3. 当前配置的正确性与优化建议 #

当前配置的合理性 #

从功能可用性来看，当前配置是正确的——HTTPS证书验证通过，PrivateLink链路正常，故障转移逻辑可通过修改DNS记录实现。

优化方向 #

• 源站域名优化：建议将Origin的域名改为AKS Ingress的内部私有域名（如aks-ingress.private.example.com），并在Azure Private DNS区域中配置该域名指向AKS Ingress的私有IP，同时让Front Door关联此私有DNS区域。这样可以完全避免依赖公网DNS解析，更贴合PrivateLink的私有访问架构。
• 证书配置：确保cert-manager颁发的证书的主题备用名称（SAN）包含你使用的源站域名（无论是test.example.com还是内部私有域名），保证Front Door的证书验证正常。
• DNS故障转移优化：将test.example.com的DNS TTL设置为较短值（如300秒），减少故障转移时的DNS缓存延迟。

内容的提问来源于stack exchange，提问作者anacelto