通过Azure应用网关访问WSDL返回VM私有IP的问题

我之前帮客户处理过完全相同的场景，这本质是反向代理（Azure应用网关）与后端Tomcat之间的请求头传递不匹配导致的问题，我来给你拆解原因和解决方案：

问题根源 #

当你通过应用网关访问SOAP服务时，Tomcat生成WSDL时会基于当前请求的Host头、协议以及它自身感知到的服务器地址来生成端点URL。但默认情况下，应用网关没有把外部请求的真实Host（也就是你的应用网关DNS）、外部协议（比如HTTPS）传递给后端Tomcat——Tomcat拿到的是来自应用网关的内部请求，用的是VM的私有IP和内部HTTP协议，自然就把私有IP写到WSDL里了。而直接访问VM时，Tomcat拿到的是真实的外部请求信息，所以WSDL显示正确。

解决方案 #

1. 配置Azure应用网关传递正确的请求头 #

首先要让应用网关把外部请求的关键头信息转发给后端Tomcat：

• 在应用网关的后端HTTP设置中，确保Host name设置为Pick host name from backend target或者直接指定你的应用网关DNS名称（更稳妥）。
• 如果你的应用网关用了HTTPS对外提供服务，需要添加自定义请求头X-Forwarded-Proto: https，这样Tomcat能知道外部用的是HTTPS协议。
• 同时要确保应用网关的健康探针和后端设置保持一致，避免出现探针失败的情况。

2. 配置Tomcat识别反向代理的头信息 #

修改Tomcat的配置，让它信任应用网关的请求，并从转发的头信息中获取正确的外部地址：

• 打开Tomcat的conf/server.xml文件，找到<Engine>标签，添加RemoteIpValve阀门：

  <Valve className="org.apache.catalina.valves.RemoteIpValve"
         internalProxies="应用网关的IP/段" <!-- 比如Azure应用网关的前端IP或者内部IP段，你可以从Azure门户获取 -->
         remoteIpHeader="X-Forwarded-For"
         protocolHeader="X-Forwarded-Proto"
         protocolHeaderHttpsValue="https"
         hostHeader="X-Forwarded-Host"/> <!-- 如果需要用转发的Host头，加上这行 -->
  

• 保存配置后重启Tomcat，这样Tomcat生成WSDL时就会用X-Forwarded-Proto和X-Forwarded-Host里的信息，也就是你的应用网关DNS和正确的协议。

3. 直接在SOAP服务中指定端点地址（备选方案） #

如果上面的配置你暂时没法操作，可以直接在SOAP服务代码里指定固定的端点地址：

• 比如在JAX-WS的@WebService注解里，通过endpointInterface或者直接在服务实现类里指定：

  @WebService(endpointInterface = "com.your.service.YourServiceInterface",
              targetNamespace = "http://your.namespace.com",
              serviceName = "YourService",
              portName = "YourServicePort",
              wsdlLocation = "https://your-app-gateway-dns/service?wsdl")
  public class YourServiceImpl implements YourServiceInterface {
      // 服务实现代码
  }
  

• 或者如果用Spring框架，可以在配置文件里指定端点的外部URL，这样WSDL里就会固定显示这个地址。

总结 #

最推荐的是方案1+方案2的组合，这种方式更灵活，能适配不同的部署环境和请求场景；如果是临时解决或者代码层面更容易调整，可以用方案3。

内容的提问来源于stack exchange，提问作者Bill B