无法从AWS容器连接Azure SQL Database的配置排查咨询

云原生阿岚

2026-7-22

问题排查与配置调整建议

一、先排查同VNet内Azure VM的SQL连接问题（基础验证）

优先解决同VNet内VM的连接失败，这能直接定位SQL服务本身或VNet内的核心配置问题：

检查SQL Server网络配置：
打开SQL Server配置管理器，确保SQL Server网络配置→MSSQLSERVER的协议中TCP/IP协议已启用；双击TCP/IP，在IP地址标签页找到对应VM私有IP的条目，设置已启用=是、TCP端口=1433（或你自定义的端口），重启SQL Server服务。
开放VM本地防火墙端口：
Windows VM：在Windows防火墙中添加入站规则，允许1433端口（或自定义端口）的TCP流量；Linux VM：执行sudo iptables -A INPUT -p tcp --dport 1433 -j ACCEPT并保存规则。
启用SQL身份验证模式：
用本地Windows身份登录SQL Server，右键实例→属性→安全性，选择SQL Server和Windows身份验证模式，重启SQL Server服务；同时确保SQL账号拥有目标数据库的INSERT权限。
本地验证连接：
在VM上执行命令测试：
```
sqlcmd -S <VM私有IP> -U <SQL用户名> -P <SQL密码> -Q "SELECT @@VERSION"
```
若成功返回版本信息，说明SQL服务本身正常；若失败，根据具体错误提示（如“登录失败”“无法连接”）进一步排查。

确认私有端点配置：
若用私有IP连接，必须为SQL Server配置私有端点（VNet服务端点仅通过公共IP访问，不提供私有IP）。检查私有端点是否和Azure VM在同一个VNet，且私有DNS区域已关联该VNet，在VM上执行nslookup <SQL FQDN>验证FQDN是否解析到私有IP。
检查防火墙规则：
确认SQL Server防火墙已添加VNet服务端点规则（若使用服务端点），或允许私有端点所在子网的流量；同时确保已配置对应AWS VPC CIDR的防火墙规则（用于跨VPN访问）。

在解决同VNet连接后，再处理跨VPN的容器连接：

在AWS容器所在的ECS/EKS节点（或直接在容器内）执行以下命令，确认能访问Azure SQL的私有IP：

# 测试ICMP连通（若VPN允许ICMP）
ping <Azure SQL私有IP>
# 测试端口连通
telnet <Azure SQL私有IP> 1433
# 或用nc命令
nc -zv <Azure SQL私有IP> 1433

若不通，说明VPN路由或隧道存在问题：

容器网络模式：确保容器使用的网络模式能访问VPC子网（如ECS的awsvpc模式、Kubernetes的Pod网络已配置路由到VPN网关）。
连接字符串优化：
若连接Azure SQL，需确保连接字符串包含必要参数，示例：
```
Server=<SQL私有IP>;Database=<数据库名>;User ID=<SQL用户名>;Password=<SQL密码>;Encrypt=Yes;TrustServerCertificate=True;Connection Timeout=30;
```
其中Encrypt=Yes是Azure SQL的默认要求，TrustServerCertificate=True用于内部环境跳过证书验证，Connection Timeout避免超时问题。
应用日志排查：500错误为泛型提示，必须查看API应用的详细日志（如.NET的InnerException、Java的Stack Trace），定位具体错误：是连接超时、认证失败、权限不足还是SQL语法错误。

内容的提问来源于stack exchange，提问作者Srivatsava T