如何让公网Azure静态Web应用连接带专用端点的Function App并保持公网访问

核心思路 #

不能直接给SWA配置指向Function App的专用端点（这会禁用SWA的公网入口），而是要让SWA的边缘节点通过私有网络通道访问Function App，同时保留SWA的公网CDN/企业级边缘能力。

方案1：虚拟网络集成+Private Link（推荐） #

• 保持Function App的专用端点配置：确保其仅允许私有网络访问，关闭公网入口。
• 启用SWA的虚拟网络集成：在SWA的网络设置中，开启虚拟网络集成（VNet Integration），连接到包含Function App专用端点的虚拟网络（或对等互联的虚拟网络）。这样SWA的后端调用会通过私有网络访问Function App的专用IP，而公网CDN/边缘节点仍正常对外提供静态内容。
• 配置专用DNS解析：在虚拟网络中创建privatelink.azurewebsites.net专用DNS区域，将Function App域名解析到其专用端点IP，确保SWA内部调用时不会解析到公网地址。

方案2：Azure Front Door+Private Link（适合增强边缘能力） #

• 保留SWA的公网配置：不添加专用端点，维持其自带的CDN/边缘服务正常运行。
• 部署Azure Front Door（AFD）：将AFD作为SWA的前端入口，同时在AFD的后端池中配置Function App的专用端点，并启用Private Link，确保AFD到Function App的流量走私有通道。
• 调整SWA的API调用地址：让SWA调用AFD提供的Function App入口域名，替代直接访问Function App的公网地址。
• 限制Function App访问：仅允许AFD的专用IP范围或Private Link流量，彻底关闭公网入口。

方案3：服务端点集成（简化场景替代方案） #

• 为Function App配置虚拟网络服务端点：限制其仅接受指定虚拟网络的服务端点流量。
• 启用SWA的虚拟网络集成：将SWA连接到该虚拟网络，确保API调用流量通过服务端点到达Function App。
• 保留SWA公网入口：静态内容的公网CDN/边缘服务不受影响，正常对外提供访问。

关键注意事项 #

• 禁止给SWA本身配置专用端点：这是导致公网403错误的直接原因，会强制SWA所有流量走私有网络，阻断公网访问。
• 确保DNS解析正确：必须让SWA内部调用Function App时解析到私有IP，否则流量会被Function App的防护策略拦截。
• 权限配置到位：确保SWA所在虚拟网络/AFD拥有访问Function App专用端点的权限，必要时在Function App的IAM中添加对应角色。

内容的提问来源于stack exchange，提问作者Vince