Azure Application Gateway指向Azure CDN时后端健康状态异常排查咨询

• 核对健康探测与后端HTTP设置的主机头配置一致性
  若自定义探测单独指定了Host为CDN原生终结点域名会返回200正常，但后端HTTP设置中主机头配置为业务自定义域名，且该域名未在CDN侧完成自定义域名绑定的情况下，实际转发请求会被CDN拒绝，触发后端不健康标记。需保证探测与实际转发的主机头一致，或提前将所有用到的域名接入CDN自定义域名列表。
• 调整应用网关DNS缓存超时时间
  Azure Application Gateway默认DNS缓存时间为300秒，而CDN边缘节点IP变更频率远高于该周期，缓存未更新时会将请求发往已失效的CDN IP，导致服务偶发不可用，使用静态IP配置时无该问题。可通过PowerShell命令调整缓存时长为60秒：
  Set-AzApplicationGateway -ApplicationGateway $appgw -DnsCacheTimeout 60
• 检查CDN侧访问控制规则
  若CDN开启了WAF、IP访问限制等规则，需将应用网关所有出口公网IP完整加入CDN白名单，遗漏部分IP的情况下会出现概率性访问失败、健康状态异常的问题。
• 开启日志定位具体错误
  开启应用网关访问日志，筛选发往CDN后端的失败请求，根据返回的具体状态码缩小范围：403状态码对应主机头不匹配、访问权限被拦截；502/504状态码对应DNS解析到失效IP、CDN节点临时故障。

内容的提问来源于stack exchange，提问作者Matt Immer