Azure App Service配置Point-to-Site连接：证书生成及问题排查

先理清楚你的情况 #

• 当前架构：Azure App Service通过虚拟网络连接本地数据库，每周都会出现连接中断问题，仅重启App Service可恢复
• 操作尝试：为解决断连问题，尝试将VPN网关SKU从Basic升级至VpnGw2，但配置VNet连接时被要求设置点到站点（P2S）连接，卡在证书配置环节，不清楚如何操作

重要误区：App Service无需配置P2S连接 #

Point-to-Site（点到站点）是给单台客户端机器（比如个人电脑）连接Azure虚拟网络用的，App Service连接虚拟网络依赖的是VNet集成（区域VNet集成或网关要求的VNet集成），升级VPN网关SKU时完全不需要额外配置P2S，这一步属于操作错误，无需在此耗费精力。

若确实需要生成P2S证书（供其他客户端机器使用） #

证书不需要在App Service的Kudu控制台生成，直接在本地机器操作即可：

Windows系统（PowerShell） #

1. 打开PowerShell，执行以下命令生成根证书：

$cert = New-SelfSignedCertificate -Type Custom -KeySpec Signature `
-Subject "CN=P2SRootCert" -KeyExportPolicy Exportable `
-HashAlgorithm sha256 -KeyLength 2048 `
-CertStoreLocation "Cert:\CurrentUser\My" -KeyUsageProperty Sign -KeyUsage CertSign

2. 导出根证书公钥（不包含私钥）：
   • 打开certmgr.msc，找到「个人证书」中的P2SRootCert
   • 右键>所有任务>导出，选择「不导出私钥」，保存为Base64编码的CER格式文件
3. 生成客户端证书（用于单台机器连接VPN）：

New-SelfSignedCertificate -Type Custom -DnsName P2SChildCert -KeySpec Signature `
-Subject "CN=P2SChildCert" -KeyExportPolicy Exportable `
-HashAlgorithm sha256 -KeyLength 2048 `
-CertStoreLocation "Cert:\CurrentUser\My" `
-Signer $cert -TextExtension @("2.5.29.37={text}1.3.6.1.5.5.7.3.2")

macOS系统（OpenSSL） #

1. 生成根证书：

openssl req -x509 -sha256 -nodes -days 365 -newkey rsa:2048 -keyout rootCA.key -out rootCA.crt

2. 生成客户端证书：

openssl req -new -sha256 -nodes -newkey rsa:2048 -keyout client.key -out client.csr
openssl x509 -req -in client.csr -CA rootCA.crt -CAkey rootCA.key -CAcreateserial -out client.crt -days 365 -sha256

解决App Service连接中断的正确方向 #

回到断连问题本身，建议从以下方向排查：

1. 检查VNet集成配置：确认App Service使用的是「区域VNet集成」（同区域虚拟网络）还是「网关要求的VNet集成」（跨区域），验证配置是否正常
2. 排查断连根因：
   • 查看App Service的应用日志、平台日志，定位连接错误的具体报错（如超时、TCP重置等）
   • 检查本地数据库的防火墙、网络策略，是否存在自动断开超时连接的设置
   • 查看VPN网关日志，确认是否存在隧道中断情况
3. 调整连接池参数：在App Service的应用设置中添加数据库连接池相关配置，比如Connection Lifetime、Max Pool Size，避免连接池耗尽或超时断开

参考资料（已翻译） #

• 《Azure门户：配置点到站点VPN网关连接的服务器设置（证书认证）》
• 点到站点证书配置界面截图

内容的提问来源于stack exchange，提问作者Airo