多区域多服务场景下Azure Front Door对接AKS集群问题排查

关于认证的疑问 #

通过Front Door访问时，认证仍然由后端AKS服务处理。Front Door默认仅做流量转发，不会干预后端的认证逻辑，你直接访问服务时使用的Bearer Token会被原样转发到后端，无需额外调整认证流程（除非你在Front Door上额外配置了Azure AD等前置认证层）。

503错误的排查与配置调整 #

1. 后端健康探测配置问题 #

• Front Door默认健康探测路径为/，如果你的service2没有将/设为健康检查端点，或者该端点需要认证才能返回200 OK，Front Door会判定后端服务不健康，触发503。需修改健康探测路径为service2的专属健康检查端点（比如/service2/health），并确保该端点无需认证即可返回200状态码。
• 检查健康探测的协议和端口是否与后端service2的配置一致（比如后端用HTTPS，探测也要设为HTTPS）。

2. NSG规则限制 #

虽然AKS服务有公网IP，但你的NSG禁止公网直接访问，需添加允许Front Door流量访问AKS服务的入站规则：

• 在NSG的入站规则中，选择服务标签AzureFrontDoor.Backend作为源，目标设置为AKS服务的端口（比如80/443），允许流量通过。这样Front Door的流量才能正常到达后端服务。

3. 路由规则与路径转发配置 #

• 确认路由规则的路径匹配模式：若配置的是“路径含'/service2/'”，需设置为前缀匹配，确保所有以/service2/开头的请求都能转发到service2-group。如果是精确匹配，仅/service2/会被匹配，其他子路径会触发错误。
• 开启路径重写：如果后端service2的根路径是/，而Front Door转发的路径是/service2/，需将路由规则中的路径重写设置为/*，把/service2/*的请求重写为/*发送给后端，避免后端因找不到/service2/路径返回404，进而被Front Door判定为不健康。

4. 后端服务源配置验证 #

• 确认源组中service2的eastus、westus节点FQDN和端口配置正确，比如后端用HTTPS的话，源配置要启用HTTPS，并确保Front Door信任后端的证书（生产环境建议使用公共CA签发的证书，测试环境可临时关闭证书验证）。
• 测试Front Door到后端的连通性：使用Azure Monitor中的Front Door诊断工具，或者在Azure虚拟机中telnet后端FQDN的对应端口，确认Front Door能够正常访问后端服务。

5. 缓存与日志排查 #

• 清除Front Door缓存：旧缓存可能导致异常，可在Front Door的缓存设置中清除对应端点的缓存后重试。
• 查看诊断日志：在Azure Monitor中查看Front Door的日志，定位503错误的具体原因（比如后端健康探测失败、路由匹配错误、连接超时等），针对性调整配置。

内容的提问来源于stack exchange，提问作者Kruti Joshi