已配置P2S VPN，为何无法从本地访问带Private Link的Azure存储账户？

可以通过P2S VPN访问启用Private Link且禁用公网的Azure存储账户，你大概率遗漏了以下关键配置步骤：

• 检查P2S VPN路由与地址池
  确保P2S VPN的客户端地址池和存储账户所在VNET的地址段无冲突，同时确认Virtual Network Gateway已同步存储账户私有端点所在子网的路由。可在Azure门户进入「Virtual Network Gateway」->「路由表」，查看是否包含存储账户私有IP段的路由条目。

• 配置私有DNS解析
  存储账户私有链接的正常访问依赖私有DNS区域（如privatelink.blob.core.windows.net）：

  • 将该私有DNS区域关联到P2S VPN所属的VNET
  • 确保VPN客户端能获取正确的DNS配置：Windows客户端可检查VPN连接的DNS服务器设置是否包含Azure私有DNS的IP；若使用本地自定义DNS，需在本地DNS服务器上配置条件转发，将存储账户的私有链接域名指向Azure私有DNS服务器。

• 更新存储账户网络规则
  进入存储账户的「网络」->「防火墙和虚拟网络」页面，确认已将P2S VPN的客户端地址池添加到「允许访问的虚拟网络和IP地址」列表中。

• 验证客户端路由表
  在本地VPN客户端执行route print（Windows）或ip route（Linux/macOS）命令，确认存在存储账户私有IP段指向VPN适配器的路由。若缺失，需检查Virtual Network Gateway的路由传播配置，或手动添加静态路由。

• 测试基础连通性
  先从Azure内部VM获取存储账户的私有IP，在本地VPN连接后用ping或tracert测试该IP的连通性。若不通，优先排查VPN隧道连通性；若能通但Blob访问失败，再聚焦DNS解析和存储账户权限问题。

内容的提问来源于stack exchange，提问作者AshutoshTripathi