Azure App Service与VNET集成及内部DNS配置可行性咨询

这个方案完全可行，而且是Azure生态里访问VNet内部资源的标准实践之一，刚好能满足你通过DNS名称而非IP访问AKS ILB服务的需求。下面一步步给你讲配置流程和更优的实现方式：

配置步骤：让App Service使用私有DNS解析VNet内资源 #

1. 把App Service集成到生产VNet #

• 先确认你的App Service SKU是Premium V2/V3、Isolated或者Elastic Premium——Basic/Free层不支持VNet集成功能
• 进入App Service的「网络」设置面板，找到「VNet集成」选项，选择你的生产VNet和对应的子网（注意这个子网要预留出来，不能放其他资源，App Service会用它来建立网络连接）
• 完成集成后，App Service就拥有了VNet内的网络身份，能直接访问VNet里的所有资源了

2. 配置私有DNS区域并关联到VNet #

• 在Azure门户创建一个私有DNS区域，比如你提到的mydns.private
• 在这个区域里添加一条A记录，把service1.mydns.private指向AKS ILB的私有IP地址
• 把这个私有DNS区域关联到你的生产VNet（可以选「自动注册」，也可以手动关联），这样VNet内的所有资源（包括集成后的App Service）都能通过这个区域解析DNS了

3. 验证App Service的DNS解析能力 #

• 集成完成后，App Service会自动继承VNet关联的私有DNS区域的解析规则，不需要额外配置自定义DNS服务器
• 你可以通过App Service的Kudu控制台（访问https://<你的App Service名称>.scm.azurewebsites.net）执行命令nslookup service1.mydns.private，看看返回的IP是不是ILB的私有IP，以此验证解析是否正常

更优实现模式 #

如果你想减少手动维护DNS记录的工作量，或者让架构更灵活，还有几个更优的模式可以考虑：

1. 私有DNS区域转发到AKS内部CoreDNS #

• 如果你的AKS集群启用了默认的CoreDNS（大部分场景都是默认启用的），可以配置私有DNS区域把mydns.private的查询请求转发到AKS内部的CoreDNS服务器
• 这样一来，当AKS里的服务IP发生变化（比如Pod重建、ILB更新），CoreDNS会自动维护服务的DNS记录，你就不用手动去更新私有DNS的A记录了
• 配置方式：在私有DNS区域的「转发规则」里添加转发目标，目标地址填AKS内部CoreDNS的IP（可以通过kubectl get svc kube-dns -n kube-system获取）

2. 用Azure Private Endpoint替代VNet集成（按需选择） #

• 如果你的App Service只需要访问VNet里的特定资源（比如这个AKS ILB服务），而不是整个VNet的资源，可以考虑用Private Endpoint
• 这种方式是给App Service创建一个VNet内的私有IP，直接和目标资源建立连接，结合私有DNS区域同样能实现DNS名称访问，不过配置复杂度比VNet集成略高，适合访问范围窄的场景

3. 多区域场景：Traffic Manager + 私有DNS #

• 如果你未来需要跨区域访问内部服务，可以把Azure Traffic Manager和私有DNS结合，实现跨区域的内部服务DNS解析，不过这属于进阶场景，当前需求下可能暂时用不上

验证服务访问 #

最后可以做个简单测试确认：

• 在App Service里写一段简单的代码，比如用Dns.GetHostAddresses("service1.mydns.private")获取IP，或者直接发起HTTP请求到http://service1.mydns.private
• 也可以在Kudu控制台用curl http://service1.mydns.private测试，确认能正常访问AKS后端的API

内容的提问来源于stack exchange，提问作者watdo