如何通过Azure Point-to-Site VPN访问启用专用端点的Azure SQL数据库及配置DNS解析器？

前提条件 #

• 已部署Azure P2S VPN网关，客户端可正常连接至Azure VNet
• Azure SQL数据库已配置专用端点，且关联对应专用DNS区域（如privatelink.database.windows.net）
• 专用DNS区域已与专用端点所在VNet建立链接

步骤1：部署Azure DNS解析器及入站端点 #

1. 在Azure门户创建Azure DNS解析器实例：
   • 选择与专用端点同VNet（或已建立对等连接的VNet）作为托管VNet
   • 填写名称、区域等基本信息后完成创建
2. 创建入站端点：
   • 进入DNS解析器实例的「入站端点」菜单，点击「添加」
   • 指定专用子网，子网名称必须为AzureDNSResolverInbound，子网大小至少为/28，且该子网不能部署其他资源
   • 完成创建后，记录入站端点的私有IP地址

步骤2：关联专用DNS区域到DNS解析器 #

1. 进入Azure SQL对应的专用DNS区域（如privatelink.database.windows.net）
2. 在「链接」菜单选择「DNS解析器链接」，点击「添加」
3. 选择已创建的Azure DNS解析器实例，确认后完成链接配置

步骤3：配置P2S VPN网关的DNS服务器 #

1. 进入P2S VPN网关的「配置」菜单
2. 在「DNS服务器」字段中，输入步骤1记录的DNS解析器入站端点私有IP
3. 保存配置，等待网关更新完成

步骤4：验证配置有效性 #

1. 从远程设备连接P2S VPN
2. 在客户端执行命令：nslookup <你的SQL服务器名>.database.windows.net，确认返回结果为Azure SQL专用端点的私有IP
3. 使用SQL客户端（如SSMS）尝试连接数据库，验证访问正常

关键注意事项 #

• 若P2S网关所在VNet与专用端点VNet为对等关系，需确保对等连接启用「允许网关传输」，且路由表正确转发DNS查询流量
• P2S客户端需优先使用VPN分配的DNS服务器，避免本地DNS劫持查询（可在客户端网络设置中强制使用VPN DNS）
• AzureDNSResolverInbound子网需保持专属使用，不能被其他服务占用

内容的提问来源于stack exchange，提问作者One Developer