Azure SQL防火墙配置私有与服务端点后原有连接失效的解决方案咨询

问题原因 #

是的，添加私有端点后，Azure SQL的默认公共DNS记录会被覆盖，指向私有端点的私有IP地址。此时VNet1内的VM1解析数据库域名时，会得到VNet2中的私有IP，而VM1不在VNet2的地址空间内，无法访问该私有IP，导致原有服务端点连接中断。

共存配置步骤 #

要实现两种端点同时生效，需从DNS解析和防火墙规则两方面调整：

• 保留服务端点防火墙规则：确保Azure SQL防火墙中仍保留允许VNet1 Subnet1服务端点访问的规则，不要因添加私有端点删除该规则。
• 配置VNet1的DNS解析策略：
  • 若使用Azure默认DNS：确保VNet1未关联私有端点对应的专用DNS区域（privatelink.database.windows.net），这样VM1解析数据库域名时会返回公共IP，流量通过服务端点通道进入Azure SQL。
  • 若使用自定义DNS服务器：在DNS服务器上配置条件转发规则，将数据库的FQDN（如xxx.database.windows.net）转发至Azure公共DNS服务器（168.63.129.16），强制VNet1内的VM1解析到公共IP。
• 确保VNet2的私有端点DNS正常：将VNet2关联到私有端点对应的专用DNS区域，保证VM2能解析到私有IP，正常通过私有端点连接数据库。

验证方法 #

• 在VM1上执行nslookup <数据库FQDN>，确认返回的是公共IP地址。
• 在VM2上执行同样命令，确认返回的是私有端点的私有IP地址。
• 分别测试两台VM的数据库连接，确保均能正常访问。

内容的提问来源于stack exchange，提问作者AngiSen