如何配置Azure Application Gateway v1实现单VMSS托管多站点？

前置准备 #

你需要提前准备好以下资源：

• 已部署的Azure Virtual Machine Scale Set（VMSS），VM实例内已完成两个网站的部署，两个站点可以用不同的端口或者不同的主机名区分访问
• 两个站点对应的公网域名（如果用主机名路由的话），以及对应域名的SSL证书（PFX格式，带私钥）
• 双向认证所需的客户端根CA证书（CER格式，Base64编码）

步骤1：将VMSS加入Application Gateway后端池 #

• 进入Application Gateway配置页，找到「后端池」选项，新建或选择现有后端池，关联你提前部署的VMSS资源，保存配置后Application Gateway会自动将VMSS的所有实例纳入后端节点管理
• 配置两个对应的后端HTTP设置：
  • 如果两个站点用端口区分：分别设置两个后端设置的端口为对应站点的监听端口，协议选HTTP即可（因为SSL在网关侧终止）
  • 如果两个站点用主机名区分：除了端口一致外，需要在「主机名」字段填入对应站点的域名，开启“从后端地址中挑选主机名”选项
• 配置后端健康探测：分别为两个站点创建健康探测，探测路径用站点的健康检查路径，匹配对应的后端设置端口/主机名，确保探测状态为健康

步骤2：配置SSL终止（SSL Offloading） #

• 进入「监听器」配置页，创建多站点类型的监听器：
  • 前端IP选公网IP，端口选443，协议选HTTPS
  • 上传第一个站点的PFX格式SSL证书，输入证书密码，填写第一个站点的主机名
  • 按照同样流程创建第二个站点的HTTPS监听器，上传第二个站点的SSL证书，填写对应主机名
• 如果你只有一个公网IP，可以用基于主机名的多站点监听器共享同一个443端口，网关会根据请求的SNI字段匹配对应的证书和监听器

步骤3：配置请求路由规则 #

• 为两个站点分别创建基础路由规则：
  • 每个规则绑定对应站点的HTTPS监听器
  • 后端目标选择之前创建的对应后端池
  • 后端设置绑定对应站点的后端HTTP设置
• 配置完成后可以测试两个域名的访问，确认SSL终止生效，返回的站点内容正确

步骤4：开启TLS双向认证 #

注意：Application Gateway v1 SKU支持双向认证，配置方式如下：

• 进入你创建的HTTPS监听器配置页，找到「SSL配置文件」选项
• 新建SSL配置文件：
  • 开启「需要客户端证书」选项
  • 上传你提前准备的客户端根CA证书（CER格式），如果有中间CA也需要一并上传
  • 保存后将该SSL配置文件绑定到对应的HTTPS监听器
• 配置完成后，客户端访问站点时必须出示合法的客户端证书才能完成TLS握手，未携带证书或证书不被信任的请求会被网关直接拒绝

常见问题排查 #

• 如果出现502错误：优先检查后端健康探测状态，确认VMSS内的站点可以被网关VPC访问，后端设置的端口、主机名配置正确
• 如果双向认证不生效：确认客户端证书是由上传的根CA签发，证书没有过期，客户端访问时正确携带了证书

注意：Application Gateway v1 SKU已经停止新功能迭代，如果你后续需要更高的性能、更丰富的功能（比如WAF v2、端到端TLS增强等），建议后续升级到v2 SKU

内容的提问来源于stack exchange，提问作者learnazure