Azure WebApp通过VNet访问File Storage遇403错误，求排查方案

根据你的场景，我梳理了几个最可能遗漏的配置点，这些都是导致这类403错误的常见原因：

• 确认Web App已完成VNet集成
  你提到子网配置了Microsoft.Storage服务端点、存储防火墙也加入了该子网，但如果Web App没有和这个子网做VNet集成，它的出站流量还是会走公网，自然会被存储的公网访问限制拦截。
  操作路径：在Web App的左侧导航栏进入「网络」→「VNet集成」，选择你配置了服务端点的目标子网完成集成。注意：Web App的SKU需要是标准（S1/S2/S3）、高级（P1-P3V3）或隔离层，基础层不支持VNet集成。

• 检查子网服务端点是否包含File存储类型
  服务端点可以针对不同的存储子服务启用（Blob、File、Table等），如果你的子网只启用了Blob的服务端点，File存储的访问仍然会走公网。
  操作路径：进入Virtual Network的子网配置，查看「服务端点」，确保勾选了Microsoft.Storage下的File服务（或直接勾选整个Microsoft.Storage，覆盖所有子服务）。

• 验证存储账户防火墙规则的正确性
  确认存储账户的「防火墙和虚拟网络」设置中，已将目标子网添加到「允许访问的虚拟网络」列表，并且没有误开启「允许从所有网络访问」（你要禁止公网访问，这个选项必须关闭）。另外，不需要勾选「允许受信任的微软服务访问」，因为Web App通过VNet集成的流量属于子网内流量，不依赖该选项。

• 检查存储SDK版本及配置
  你使用的Microsoft.WindowsAzure.Storage包已经被微软弃用，旧版本可能对服务端点的支持不完善，建议升级到最新的Azure.Storage.Files.Shares包。如果暂时无法升级，要确保连接字符串没有IP限制，且代码中创建CloudFileClient时没有手动配置绕过VNet的参数。

• 排查子网NSG的出站规则
  目标子网的网络安全组（NSG）如果有自定义出站规则，要确保没有阻止到Microsoft.Storage服务的流量。默认NSG允许所有出站流量，但如果有规则限制，需放行目标存储账户所在区域的存储服务流量。

• 测试流量路径是否正确
  可以在Web App的「高级工具」→「Kudu」中运行命令 nslookup myaccount.file.core.windows.net，查看解析的IP是否为Azure存储的私网IP。如果解析出公网IP，说明流量没有走VNet集成路径，需要重新检查VNet集成配置。

内容的提问来源于stack exchange，提问作者3axap