VNet内Azure App Service与Container App的gRPC连接配置及问题排查

场景 #

Azure虚拟网络包含两个子网：

• 子网1：部署带有gRPC客户端的Azure App Service
• 子网2：部署带有gRPC服务器的Azure Container App

问题1：实现消息传递的正确URL和端口是什么？ #

正确的通信URL应使用Container App的私有内部域名，端口保持5000。格式示例：

http://myapp.internal.graybay-2091cc5a.uksouth.azurecontainerapps.io:5000

原因：同虚拟网络内的服务应通过内部网络通信，内部域名直接指向Container App的私有IP，无需走公网路由。

问题2：连接超时（Error connecting to subchannel）原因及解决方法 #

报错信息 #

Grpc.Core.RpcException: Status(StatusCode="Unavailable", Detail="Error connecting to subchannel.", DebugException="System.Net.Sockets.SocketException: Connection timed out")

已知信息 #

• 本地环境http://localhost:5000可正常运行
• App Service容器内nslookup能解析Container App的公共URL
• Container App日志显示：Now listening on: http://[::]:5000
• 客户端通道配置：

  var channel = GrpcChannel.ForAddress("http://myapp.graybay-2091cc5a.uksouth.azurecontainerapps.io:5000");
  

• 服务器配置：

  var builder = WebApplication.CreateBuilder(args);
  
  builder.WebHost.ConfigureKestrel(options =>
  {
      options.Listen(IPAddress.Any, 5000, o => o.Protocols = HttpProtocols.Http2);
      options.ListenLocalhost(5000, o => o.Protocols = HttpProtocols.Http2);
  });
  
  var app = builder.Build();
  
  app.MapGrpcService<HeartbeatService>();
  

核心原因分析 #

1. 使用公共域名而非内部域名
   当前客户端使用的是Container App的公共访问域名，即使DNS能解析，公共域名的流量默认走公网路径，而Container App的5000端口未对外开放（或网络策略阻止公网访问），导致连接超时。

2. Container App端口暴露与Ingress配置缺失
   服务器代码监听了5000端口，但如果Container App未在部署配置中：

   • 暴露容器的5000端口
   • 设置Ingress为"内部访问"并启用HTTP2
     同VNet内的App Service仍无法访问该端口。

3. 子网间NSG规则限制
   两个子网的网络安全组（NSG）可能未配置允许App Service子网到Container App子网的TCP 5000端口流量规则。

4. App Service VNet集成配置问题
   如果App Service未正确启用VNet集成，或集成的子网与Container App子网无路由连通性，客户端流量无法进入虚拟网络内部访问服务器。

解决方案 #

• 修正客户端URL：替换为Container App的内部私有域名（格式参考问题1的示例）
• 配置Container App：
  1. 在容器设置中添加端口映射，暴露5000端口
  2. 在Ingress设置中，将访问限制设为"内部"，并确保启用HTTP2协议
• 更新NSG规则：添加允许App Service子网IP段访问Container App子网TCP 5000端口的入站规则
• 验证VNet集成：确认App Service已启用VNet集成，且集成子网与Container App子网在同一虚拟网络内，路由配置正常

内容的提问来源于stack exchange，提问作者Boggin