Azure Front Door后接Application Gateway多站点SSL配置及公网IP部署咨询

公网IP部署位置 #

公网IP仅需部署在Azure Front Door（AFD）前端层级即可，VMSS集群不需要单独配置公网IP，建议通过内部负载均衡（ILB）挂载VMSS集群后接入AFD后端池，所有公网流量仅通过AFD的公网IP进入，既符合架构安全要求，也无需额外维护VMSS实例的公网出口规则。

全链路配置步骤 #

VMSS侧配置 #

• 统一所有VMSS实例的站点配置：所有站点统一绑定相同端口（推荐用80，因为SSL已在AFD层完成卸载，后端无需走HTTPS），分别给www.xxx.com、www.yyy.com、www.zzz.com三个站点配置对应的主机头，每个站点单独配置对应应用池，确保所有实例的站点路径、应用池权限、运行参数完全一致，符合图示的配置统一要求。
• 关联内部负载均衡（ILB）：给VMSS集群绑定ILB，ILB前端设为私有内网IP，后端池关联全部VMSS实例，健康探测规则配置为探测站点绑定的端口，自动剔除异常实例。

AFD侧配置 #

• 前端域配置：在AFD中分别添加三个自定义域名，上传对应域名的SSL证书完成托管，确认SSL终止规则生效。
• 后端池配置：将VMSS关联的ILB私有IP添加为AFD后端目标，后端协议设为HTTP，端口和VMSS站点绑定的端口保持一致，关闭后端SSL校验。
• 路由规则配置：为三个域名分别配置对应的转发规则，规则中开启保留原始主机头配置（该配置为核心配置，若未开启VMSS站点无法识别请求对应的域名，会返回404错误），将对应域名的公网请求正常转发到后端VMSS集群。
• 解析配置：将三个站点的公网DNS解析记录指向AFD的公网IP或者AFD默认提供的CNAME地址。

验证步骤 #

• 先登录VMSS实例本地访问三个站点，确认站点、应用池运行正常，再通过公网访问三个域名验证访问链路通顺即可。

内容的提问来源于stack exchange，提问作者learnazure