无法从中心网络应用网关访问分支网络APIM的问题排查求助

环境信息 #

• 中心网络：部署Application Gateway V2（无NSG/WAF），另有一台测试VM
• 分支网络：部署APIM（无NSG）
• 网络连接：中心与分支虚拟网络已完成双向对等互联
• DNS配置：Azure私有DNS区域contso.com已关联两个虚拟网络，api.constoso.com的A记录指向APIM私有IP

问题现象 #

1. 应用网关探测/后端健康状态报错：

无法检索后端健康状态。当应用网关子网的NSG/UDR/防火墙阻止v1 SKU的65503-65534端口或v2 SKU的65200-65535端口流量，或后端池配置的FQDN无法解析为IP地址时会出现此问题。

2. 中心网络内的测试VM同样无法解析api.constoso.com

排查步骤 #

1. 私有DNS配置校验 #

• 拼写检查：确认DNS区域名称是contso.com还是constoso.com（问题中存在拼写不一致），域名拼写错误是解析失败的常见原因
• 关联状态验证：检查中心/分支虚拟网络是否已成功关联到私有DNS区域，关联需包含解析权限（自动注册可选，但手动添加A记录时需确保记录正确）
• A记录准确性：确认api.constoso.com的A记录指向APIM的私有IP，而非公共IP，且IP地址未发生变更

2. 虚拟网络对等互联检查 #

• 连通状态确认：确保两边对等互联状态为「已连接」，未配置流量拒绝规则
• DNS转发逻辑：Azure默认DNS下，对等互联网络的DNS解析依赖私有DNS区域的跨网关联；若使用自定义DNS服务器，需在服务器上配置跨虚拟网络的DNS转发规则，否则无法解析对等网络的私有域名

3. 本地解析测试 #

• 在中心VM执行nslookup api.constoso.com：
  • 若返回「域名不存在」，优先排查DNS区域关联或记录配置
  • 若返回错误IP，检查A记录的IP地址是否正确
• 查看应用网关诊断日志，筛选「DNS解析失败」相关条目，确认解析失败的具体原因

4. 网络流量与端口验证 #

• UDR路由检查：确认应用网关子网的UDR未将DNS请求（UDP 53）或健康探测端口（V2 SKU 65200-65535）导向阻止类设备（如防火墙）
• 跨网连通性测试：在中心VM ping APIM私有IP，若无法连通，排查对等互联的路由配置或是否存在未察觉的网络安全策略

5. Azure默认DNS行为确认 #

• 使用Azure默认DNS时，跨对等互联的私有域名解析要求：
  • 两个虚拟网络必须关联到同一个私有DNS区域
  • 若中心网络配置了自定义DNS服务器，该服务器需能访问Azure私有DNS区域进行解析，否则会覆盖默认DNS逻辑导致解析失败

内容的提问来源于stack exchange，提问作者Josh L