Azure Data Factory无法连接NSG后VM上的MySQL（已配置专用端点）

安全阿岳

2026-8-1

Azure Data Factory 无法通过专用端点访问NSG后方VM上的MySQL数据库问题排查

我希望使用Azure Data Factory访问部署在Network Security Group（NSG）后方虚拟机（VM）上的MySQL数据库。当NSG允许端口3306的公网访问时，我可通过公网IP连接该数据库，但这种方式不适用于生产环境。尽管我已配置专用端点，却仍无法通过私有IP连接，请问这是为什么？

NSG配置
专用端点配置
连接测试结果

可能的原因及排查方向

NSG入站规则未放行私有网络流量
检查VM所在子网的NSG入站规则，是否允许Azure Data Factory专用端点所在子网的私有IP段访问3306端口。公网访问放行的是公网IP，但私有流量需要单独配置针对私有地址范围（如10.0.0.0/8、172.16.0.0/12、192.168.0.0/16）或ADF专用端点子网的规则。
MySQL绑定地址未配置为私有IP
登录VM查看MySQL配置文件（通常是/etc/mysql/mysql.conf.d/mysqld.cnf），确认bind-address参数是否设置为VM的私有IP或0.0.0.0（生产环境不建议用0.0.0.0，可先用于测试）。如果仅绑定了公网IP，私有IP无法建立连接。
专用端点的DNS配置问题
检查ADF专用端点的DNS设置，是否正确关联了私有DNS区域，确保ADF能够解析到VM的私有IP。如果使用自定义DNS服务器，需要确认其能正确解析VM的私有域名或IP。
VM操作系统防火墙限制
除了NSG，VM自身的操作系统防火墙（如Linux的ufw/iptables、Windows防火墙）可能未放行3306端口的私有网络流量，需要在系统防火墙中添加对应允许规则。
ADF与VM的网络未打通
确认ADF专用端点所在虚拟网络与VM所在虚拟网络是否在同一VNet内，或已建立虚拟网络对等互联。跨VNet且无对等配置的情况下，私有流量无法互通。
MySQL用户权限限制
检查MySQL连接用户的权限范围，若用户仅允许从指定公网IP登录（如user@<公网IP>），则无法通过私有IP连接，需要将权限改为user@<私有IP段>或根据需求调整范围。