添加Private Endpoint后，跨Azure订阅无法解析App Service公网IP

1. 清理Private DNS Zone的冗余记录 #

先检查你的Private DNS Zone，确保里面只保留privatelink.azurewebsites.net相关的A/AAAA记录（对应App Service的私有IP），绝对不要把自定义域名的解析记录加到这里。自定义域名的DNS配置必须放在公网DNS区域里——不管是域名服务商的DNS服务器，还是Azure的公网DNS Zone，都要配置成指向App Service的公网IP或者它的默认域名（比如xxx.azurewebsites.net）。

2. 确认App Service的公网访问权限 #

打开你的App Service的「网络」配置页，检查「公共网络访问」选项是否设为允许所有网络。如果之前选了“仅允许特定虚拟网络和IP地址”，哪怕开了公网访问开关，无关订阅的请求也会被拦截，连带DNS解析逻辑也会受影响。

3. 配置目标订阅的DNS转发（如果前两步无效） #

如果上面两步做完，无关订阅的Azure DNS还是解析不出公网IP，那是因为Azure全局DNS在查询带Private Endpoint的资源时，会优先尝试私有记录，没找到就直接返回NXDOMAIN，不会自动回退到公网解析。这时候需要在目标订阅里做DNS转发：

• 创建Azure DNS Private Resolver，添加一条条件转发规则，把你的自定义域名（或者App Service的默认域名）的查询请求转发到公网DNS服务器，比如8.8.8.8或者1.1.1.1
• 把目标订阅里需要解析该域名的VNet关联到这个Resolver的出站端点，确保VNet内的资源用这个Resolver来查DNS

4. 验证结果 #

在目标订阅的VM里执行nslookup <你的自定义域名>，查看是否返回公网IP。如果直接查询无效，试试指定公网DNS：nslookup <你的自定义域名> 8.8.8.8，如果能返回结果，说明问题确实出在Azure DNS的解析逻辑，上述转发方案即可解决。

内容的提问来源于stack exchange，提问作者sveinungf