ASE3环境下Azure DevOps流水线部署App Service报连接超时如何解决

对应报错信息：

##[error]Failed to deploy web package to App Service.
##[error]Error: Error: Failed to deploy web package to App Service. Error: connect ETIMEDOUT xx.xx.xx.4:443
##[warning]Error: Failed to update deployment history. Error: Error: connect ETIMEDOUT xx.xx.xx.4:443

基础连通性验证 #

• 登录Windows Scale Set Agent的任意一台实例，在PowerShell中执行Test-NetConnection xx.xx.xx.4 -Port 443，验证端口连通性。如果此处直接返回不通，可直接定位为网络层问题，无需排查流水线配置。
• 核对xx.xx.xx.4是否为ASE3的入站私有IP，可到ASE3资源的概览页核对「入站IP地址」字段，排除IP配置错误问题。

子网访问控制排查 #

• 检查Agent所在子网的出站NSG规则：需允许到ASE3所在网段/xx.xx.xx.4的443端口出站，规则优先级高于所有拒绝443出站的规则。
• 检查ASE3所在子网的入站NSG规则：需允许Agent所在子网网段访问443端口入站，ASE3默认要求放行部署Agent网段的443入站权限。
• 检查两个子网的UDR（用户自定义路由）配置：如果路由指向防火墙、NVA等中转设备，需确认中转设备已放行Agent到ASE3 443端口的流量，排除路由黑洞或拦截规则问题。

ASE3 配置排查 #

• 确认ASE3未开启SCM站点的访问限制，若已配置限制规则，需将Agent所在子网网段添加到SCM站点的允许访问列表。
• 若使用ILB模式ASE3，确认Agent环境可正确解析待部署App Service的SCM域名，解析结果需指向ASE3的入站私有IP，避免解析到公网IP导致访问失败。可临时在Agent的hosts文件中添加绑定验证：xx.xx.xx.4 你的应用名.scm.chinacloudsites.cn（国内Azure环境）或对应海外环境的域名后缀。

流水线任务适配 #

• 确认使用的Azure App Service部署任务为最新稳定版本，旧版本存在私有网络环境部署兼容性问题。
• 若使用zip部署模式，可在部署任务中添加参数-enableCustomDeployment true，规避默认部署方式的网络适配问题。

内容的提问来源于stack exchange，提问作者Ranin Jouda