使用Azure VPN Client连接Azure Search Service失败问题咨询

问题现状 #

• 本地计算机已配置Azure点到站点VPN，可正常访问VNet保护下的除Azure Search Service外的所有资源
• 其余正常访问资源的通用配置：在资源网络设置的「所选网络」栏目添加GatewaySubnet，同时在VNet网关中将对应资源IP配置为附加路由
• Azure Search Service配置卡点：服务处于「所选网络」公网访问模式时，仅支持添加公网IP地址范围规则，无法直接添加GatewaySubnet
• VPN连接状态下访问服务报错：

A connection attempt failed because the connected party did not properly respond after a period of time, or established connection failed because connected host has failed to respond.
System.Private.CoreLib: A connection attempt failed because the connected party did not properly respond after a period of time, or established connection failed because connected host has failed to respond.

配置遗漏点与修复步骤 #

你当前使用的配置逻辑仅对支持VNet服务端点直接放行子网的资源有效，Azure Search的公网隔离规则不支持直接放行VNet子网段，属于产品原生逻辑限制，缺项和修复操作如下：

• 为Azure Search Service配置专用终结点，放弃公网规则放行的思路。进入Search实例的网络设置页，切换到专用访问配置栏，新建专用终结点并绑定到当前使用的VNet，专用终结点部署时选择独立的普通业务子网即可，不要占用GatewaySubnet，部署完成后服务会自动获得一个VNet内的私有访问IP。
• 修正VNet网关的路由配置。你之前添加的Search服务公网IP路由是无效配置，需要将专用终结点的私有IP、或是专用终结点所在子网的完整地址段，添加到点到站点VPN的附加路由表中，确保VPN客户端访问Search服务的流量会被转发到VNet内部，不会绕行公网。
• 修正DNS解析规则。保持VPN连接状态，在本地执行解析命令查看<你的搜索服务名>.search.windows.net的返回IP，如果返回的仍是Search服务的公网IP，说明解析没有命中VNet内部链路。需要在VNet中创建名为privatelink.search.windows.net的Azure专用DNS区域，将该区域关联到部署专用终结点的VNet，同时配置点到站点VPN客户端使用VNet指定的DNS服务器，确保VPN连接状态下解析Search域名返回专用终结点的私有IP。
• 收敛Search服务公网访问权限。专用链路验证连通后，可直接将Search服务的公网访问权限设置为「禁用」，无需保留任何公网IP放行规则，所有访问通过VNet专用链路传输，避免公网绕行导致的连接超时。
• 连通性校验：VPN连接状态下执行Test-NetConnection <你的搜索服务名>.search.windows.net -Port 443，返回结果中TcpTestSucceeded为True即代表链路正常。

内容的提问来源于stack exchange，提问作者DevMJ