Azure WebApp无法访问Azure文件共享问题排查求助

以下是逐步排查的方向：

• 验证私有DNS解析是否正确
  在WebApp的Kudu控制台中执行命令：nslookup <存储账户名>.file.core.windows.net，查看返回的IP地址是否为存储账户私有端点的私有IP（属于你的VNet网段）。如果解析到公共IP，说明私有DNS配置存在问题——检查WebApp所在VNet是否关联了存储账户对应的私有DNS区域（privatelink.file.core.windows.net），或者DNS区域链接是否正常生效。

• 检查存储账户私有端点的目标子资源
  确认存储账户的私有端点配置中，目标子资源已包含file。文件共享依赖存储账户的file服务，如果私有端点仅配置了blob等其他子资源，流量无法通过私有端点访问文件共享。

• 核对网络安全组（NSG）规则
  分别检查WebApp所在子网和存储账户私有端点所在子网的NSG规则：

  • WebApp子网的出站规则需允许访问存储账户私有IP的445端口（SMB协议端口）；
  • 存储账户私有端点子网的入站规则需允许来自WebApp子网的445端口流量。
    任何一方的规则限制都会导致访问被拒。

• 确认存储账户私有端点的审批状态
  进入存储账户的「Networking」->「Private endpoint connections」，查看对应的私有端点状态是否为「Approved」。如果处于Pending或Rejected状态，存储账户会拒绝该私有端点的访问请求。

• 手动测试挂载并查看具体报错
  在Kudu控制台中尝试手动挂载共享，执行命令：

  net use Z: \\<存储账户名>.file.core.windows.net\<共享名> /u:<存储账户名> <存储账户访问密钥>
  

  根据返回的具体错误信息（如找不到路径、权限拒绝等），精准定位问题——比如报错找不到路径大概率是DNS或网络连通问题，权限问题则需核对访问密钥或共享权限。

• 排查WebApp的流量路由
  使用WebApp的「Diagnose and solve problems」工具，选择「Networking」相关诊断项，检查是否存在流量拦截或路由异常。同时查看存储账户的「Metrics」，确认是否有来自WebApp私有IP的请求流量——如果没有流量记录，说明WebApp的请求未正确路由到私有端点。

内容的提问来源于stack exchange，提问作者Buda Florin