Azure应用网关后端健康状态异常，连通性测试失败求排查方案

• 私有DNS解析有效性验证
  确认应用网关所在VNet内的资源（如临时VM）能否正确解析目标私有域名，检查解析出的IP是否与后端资源匹配。可通过nslookup <私有域名>命令测试，同时查看Azure DNS日志确认解析过程是否存在异常（如解析失败、返回错误IP）。

• 后端资源直接可达性测试
  在应用网关子网部署临时虚拟机，直接通过telnet <后端IP> <端口>或curl -v <后端IP>:<端口>/<健康路径>测试连通性：

  • 若直接连接超时，排查后端资源自身状态（如服务是否运行、CPU/内存是否过载）、后端OS防火墙（Windows防火墙/iptables）是否放行应用网关子网IP段、跨VNet对等连接是否双向生效。
  • 若直接连接正常，说明问题出在应用网关配置或网络路径的中间环节。

• 探针配置细节核查

  • 确认探针协议（HTTP/HTTPS）、端口与后端服务完全匹配，避免出现后端用HTTPS但探针用HTTP的情况。
  • 检查探针健康检查路径是否符合后端服务的健康端点要求（如后端健康端点为/healthz，探针路径不可设为/）。
  • 若使用自定义探针，确认探针的超时时间、间隔时间配置是否合理（间隔时间需大于超时时间，避免探针堆积）。

• 网络路径深层排查

  • 检查应用网关子网的用户定义路由（UDR），确认没有将流量错误导向NVA或其他未配置转发规则的资源。
  • 若存在Azure防火墙，核查防火墙规则是否允许应用网关子网到后端资源的流量（NSG规则验证通过不代表防火墙规则放行）。
  • 跨VNet场景下，确认对等连接的路由传播是否开启，两端子网的路由表是否包含对方网段的路由条目。

• 后端服务性能与连接限制排查

  • 查看后端资源监控指标（如VM CPU使用率、App Service响应时间），确认是否因资源过载导致响应超时。
  • 检查后端服务是否存在连接数限制，是否因应用网关探针请求量过大触发限流，导致探针请求被拒绝或超时。

• 应用网关诊断日志分析
  启用应用网关的诊断日志（包含ApplicationGatewayAccessLog、ApplicationGatewayPerformanceLog、ApplicationGatewayFirewallLog），通过日志筛选探针相关请求，查看具体错误代码（如504 Gateway Timeout、Connection Refused）及失败原因，定位问题根源。

内容的提问来源于stack exchange，提问作者Lekha