Azure应用网关MTLS监听器重写规则自定义请求头未送达的调试方法

1. 核查重写规则配置细节 #

• 确认规则优先级：确保添加自定义头的规则优先级高于其他可能修改/删除头的规则，避免被覆盖。
• 校验变量拼写：{var_client_certificate}需完全匹配Azure应用网关的变量格式，注意大小写敏感。
• 检查绑定范围：确认规则集确实绑定到目标MTLS监听器，而非其他监听器或后端池。
• 验证动作类型：选择的是「添加（Add）」而非「设置（Set）」，避免覆盖同名头；若用「添加」，确认未配置禁止重复头的限制。

2. 检查应用网关后端设置 #

• 开启「启用拾取客户端证书」选项：若未开启，应用网关无法将客户端证书相关信息传递到后端，变量{var_client_certificate}会为空。
• 排查头传递策略：确认后端设置中未启用「移除不必要的头」等过滤规则，避免自定义头被无端丢弃。

3. 分析应用网关日志 #

• 查看访问日志：在应用网关的访问日志中，找到对应请求的rewriteRuleSetApplied字段，确认规则是否触发；同时检查requestHeaders字段，验证自定义头是否在转发到后端前已被添加。
• 启用重写规则日志：开启重写规则的诊断日志后，可直接查看规则执行的详细过程，包括变量是否正确取值、头是否成功添加。

4. 应用服务端验证头接收情况 #

• 开启应用服务诊断日志：启用Web Server Logs或Application Logs，查看请求头记录，确认自定义头是否到达。
• 临时输出请求头：修改应用代码，将所有接收的请求头输出到日志或接口响应中（比如首页接口返回头信息），直接验证头的存在性。
• 更换头名测试：避免使用Azure保留前缀（如X-MS-），可临时改用X-Client-Cert这类简单头名，排除头名过滤问题。

5. 测试变量有效性 #

• 替换为固定值：临时将重写规则的变量改为固定字符串（如test-cert-content），若固定值能正常传递到应用服务，说明问题出在{var_client_certificate}变量的取值逻辑上，需重新核查MTLS证书解析配置。
• 确认证书完整性：虽然日志显示MTLS验证成功，但需检查客户端证书是否为完整链，CA证书是否正确上传到应用网关SSL配置文件，避免证书解析异常导致变量为空。

6. 排查应用服务授权逻辑 #

• 校验证书解析：即使自定义头到达，需确认应用服务的授权代码是否正确解码证书内容（如Base64格式转换），并验证证书有效性。
• 排除其他403原因：检查应用服务的IP限制、身份验证配置等，确认403并非由其他安全规则触发。

内容的提问来源于stack exchange，提问作者user1662255