关于Hub-Spoke架构中两个Private Endpoints共用Private DNS Zone的咨询

核心验证步骤 #

• 确认私有DNS区域匹配：确保关联的Private DNS Zone是privatelink.vaultcore.azure.net（Recovery Services Vault对应的标准私有DNS后缀），后缀错误会直接导致解析失败。
• 检查A记录映射准确性：每个Private Endpoint的A记录需正确对应其私有IP，且记录名称为对应Vault的FQDN前缀（例如vault-01.privatelink.vaultcore.azure.net对应某私有IP，vault-02.privatelink.vaultcore.azure.net对应另一私有IP），避免记录名称冲突或IP映射错误。
• 测试跨订阅DNS传播：在Spoke订阅的虚拟机中执行nslookup <你的Vault完整FQDN>，验证是否返回正确的私有IP。若为跨订阅DNS链接，需确认Hub的Private DNS Zone已通过虚拟网络链接关联到Spoke的VNet，且链接状态显示“已完成”。
• 检查VNet DNS服务器配置：Spoke的VNet需使用Azure默认DNS服务器，或自定义DNS服务器已配置转发规则指向Azure DNS递归解析器（168.63.129.16），确保私有区域记录能被正常解析。

额外优化建议 #

• 配置NSG流量规则：若Spoke VNet启用了网络安全组（NSG），需添加出站规则允许虚拟机到私有端点IP的443端口流量，同时私有端点的NSG需允许对应入站流量。
• 启用DNS日志监控：在Azure Monitor中开启Private DNS Zone的日志记录，追踪解析请求的到达与响应情况，排查是否存在解析超时或记录未命中问题。
• 确认私有端点状态：在Azure门户中检查两个Recovery Services Vault的私有端点状态为“已批准”，未批准的端点无法正常提供解析服务。

内容的提问来源于stack exchange，提问作者Michael