如何解决Azure API访问本地REST API时的DNS解析与SSL连接报错问题

环境说明 #

• 已完成Azure App Service与本地（OnPrem）网络的连通搭建，且连通性验证正常

业务需求 #

• 需从Azure API访问部署在本地的REST API，该接口绑定了私有DNS名称、开启HTTPS，目标地址为https://test.com/GetData

当前问题 #

• 使用域名访问时提示主机名解析失败，无法访问本地API
• 替换为本地API的IP地址（访问地址：https://12.34.34.3/GetData）时可建立网络通信，但触发SSL报错，提示无法建立SSL连接

分两步对应解决两个问题：

第一步：解决域名解析失败问题 #

需配置Azure侧的DNS解析规则，让App Service可以正确解析本地私有域名：

1. 若使用Azure虚拟网络集成搭配ExpressRoute/站点到站点VPN连接本地：
   • 在虚拟网络的DNS服务器配置中，添加本地部署的DNS服务器地址，替换Azure默认DNS
   • 重启Azure App Service实例，让新的DNS配置生效
   • 可通过App Service的高级工具（Kudu）的控制台执行nslookup test.com验证解析结果，确保返回本地API的正确IP地址
2. 若使用Azure Relay等其他连接方案：
   • 在Azure Relay的私有域配置中添加对应本地域名的映射规则即可

第二步：解决SSL连接报错问题 #

IP访问触发SSL报错的核心原因是SSL证书的使用者可选名称（SAN）/通用名（CN）与访问地址不匹配，本地API的证书一般仅绑定了test.com域名，未绑定IP地址，正确处理方式如下：

不建议跳过SSL证书校验，会带来严重的安全风险

• 完成第一步的域名解析配置后，直接使用https://test.com/GetData地址访问，保证访问地址与证书绑定的域名一致
• 若本地API使用的是自签名证书，需要将证书的根CA证书上传到Azure App Service的**公钥证书（.cer）**列表中，配置为受信任的根证书，避免证书不被信任的报错
• 完成配置后可通过Kudu控制台执行curl -v https://test.com/GetData验证接口是否可以正常返回数据

内容的提问来源于stack exchange，提问作者Abdul Azeez