配置VNET内PE后访问Azure App Service遇403禁止及超时问题求助

问题背景 #

我开了20多个Stack Overflow和Azure文档标签页仍未解决问题：我创建的App Service公网访问完全正常，现在要迁移到Private Endpoint（PE），PE已通过VNET配置完成，App Service中也能看到私有IP，配置看似成功。

系统自动创建了专用DNS区域，包含VNET内专用链接路由所需的A记录和CNAME记录，这部分符合预期。

但在同一VNET内的VM上访问App Service的URL时，出现403 Forbidden错误，和VNET外访问结果一致。我确认已配置Azure DNS专用区域，甚至修改host文件也无效果。

当前nslookup结果如下：

C:\Windows\system32>nslookup my-azure-app.azurewebsites.net
Server:  azure-dc.company.local
Address:  10.99.1.132

Non-authoritative answer:
Name:    waws-prod-bn1-179-e41c.eastus2.cloudapp.azure.com
Address:  20.119.128.8
Aliases:  my-azure-app.azurewebsites.net
          my-azure-app.privatelink.azurewebsites.net
          waws-prod-bn1-179.sip.azurewebsites.windows.net

更新情况 #

我创建了第二台新VM 10.99.25.6，未让网络团队修改DNS，直接部署在VNET上并使用Azure DNS。这台VM的nslookup结果看似正常，但访问网站时会加载超时。对应的nslookup结果：

C:\Users\admin>nslookup my-azure-app.azurewebsites.net
Server:  UnKnown
Address:  168.63.129.16

Non-authoritative answer:
Name:    my-azure-app.privatelink.azurewebsites.net
Addresses:  168.63.129.16
          10.99.25.5
Aliases:  my-azure-app.azurewebsites.net

解决建议 #

1. 修复第一台VM的DNS解析问题 #

从nslookup结果可见，my-azure-app.azurewebsites.net最终解析到公网IP 20.119.128.8，说明公司本地DNS服务器（azure-dc.company.local）未正确转发私有DNS查询到Azure DNS专用区域：

• 配置公司DNS服务器的条件转发规则，将privatelink.azurewebsites.net域名的查询转发到Azure DNS专用区域；或直接让VNET内VM使用Azure DNS服务（168.63.129.16）。
• 确认Azure DNS专用区域已正确关联到VM所在的VNET，确保VNET内的DNS查询能路由到该区域。

2. 排查第二台VM的超时问题 #

第二台VM的nslookup结果同时返回Azure公共DNS IP和私有IP，属于解析异常（正常应仅返回PE的私有IP）：

• 检查Azure DNS专用区域内的A记录，确保my-azure-app.privatelink.azurewebsites.net仅指向PE的私有IP 10.99.25.5，无错误记录。
• 测试VM到PE的网络连通性：执行Test-NetConnection 10.99.25.5 -Port 443或telnet 10.99.25.5 443，排查NSG或防火墙是否阻止了443端口流量。
• 检查App Service的访问限制：确认是否配置了仅允许VNET内流量访问的规则，或IP安全策略是否拒绝了该VM的IP。
• 清理VM DNS缓存：执行ipconfig /flushdns后重新测试解析与访问。

3. 验证App Service私有端点配置 #

• 确认App Service的网络设置中，私有端点处于“已批准”状态，无待审批或拒绝情况。
• 检查是否开启“拒绝公网访问”选项：若开启，公网访问会被拒绝，但VNET内通过PE访问应正常；若未开启，需确保PE的流量路由规则正确。

内容的提问来源于stack exchange，提问作者Poat