Azure App Service访问限制失效：前端调用.NET后端报403排查求助

• 前端请求未走VNet子网路径
  即便前后端都配置了VNet集成，前端App Service默认仍会用出站公共IP发起请求，而非子网内私有IP。你配置的后端访问限制只允许子网IP，导致来自前端公共IP的请求被拦截。

• VNet集成配置存在疏漏
  确认后端App Service的VNet集成是否正确关联到目标子网，且已启用强制隧道（确保所有出站流量走VNet）。另外，前端的VNet集成可能未正确配置，导致请求未进入VNet链路。

• 自定义域名解析指向公网IP
  前端通过自定义域名调用后端时，若DNS解析指向的是后端的公共IP而非VNet内私有IP，请求会走公网路径，不在允许的子网IP范围内，触发403拦截。

• 访问限制规则优先级冲突
  检查后端的访问限制规则列表，若存在拒绝所有请求的规则优先级高于允许子网/指定IP的规则，会优先执行拒绝逻辑，导致合法请求被拦截。

• 后端身份验证配置拦截请求
  若后端App Service配置了Azure AD或其他身份验证机制，前端请求未携带有效凭证时，即便IP符合要求，也会返回403（这类403通常会包含身份验证相关响应头）。

• 子网NSG规则限制流量
  检查后端所在子网的网络安全组（NSG）入站规则，是否未允许前端子网的流量访问后端的HTTP/HTTPS端口。VNet内的流量同样受NSG规则管控，若未放行对应端口，会触发403。

内容的提问来源于stack exchange，提问作者Ionut-Alexandru CANDEA