Azure存储服务专用端点仅同VNET内访问时需创建专用DNS区域吗？

可以不用创建Azure专用DNS区域，但需要结合你的访问方式和维护成本来选择：

核心逻辑 #

专用DNS区域的核心作用是自动将存储账户的公共FQDN（如xxx.blob.core.windows.net）解析到专用端点的私有IP，同时确保VNET外无法通过该域名解析到私有IP（这也是你VNET外无法访问的原因之一）。如果你的场景仅限定在同VNET内的VM/AKS访问，且能接受替代的连接方式，就可以跳过专用DNS区域的创建。

可行的替代方案 #

1. 使用专用端点的私有FQDN连接 #

每个Azure存储服务的专用端点都会自带一个私有FQDN，格式为<存储账户名>.<服务类型>.privatelink.core.windows.net（比如mystorage.blob.privatelink.core.windows.net）。这个FQDN默认会被Azure内部DNS解析到专用端点的私有IP，无需额外配置DNS区域。你只需要把连接字符串中的公共域名替换成这个私有FQDN即可正常访问。

2. 手动配置DNS解析 #

如果坚持使用存储账户的公共FQDN（常规连接字符串中的域名），可以通过以下方式手动配置解析：

• 在VNET关联的自定义DNS服务器中，添加存储公共FQDN到专用端点私有IP的A记录；
• 在VNET内的VM或AKS节点的hosts文件中添加映射（如10.0.0.5 mystorage.blob.core.windows.net）。

不过这种方式维护成本较高，尤其是AKS节点数量较多或存储服务有变更时，需要手动更新解析记录。

注意事项 #

如果既不想创建专用DNS区域，又坚持用公共FQDN访问，但未配置任何私有解析，VNET内的资源会将公共FQDN解析到存储账户的公网IP，此时流量会走公网而非专用端点，可能被你的网络安全策略拦截，导致无法正常访问。

内容的提问来源于stack exchange，提问作者Tim