Назад | Перейти на главную страницу

Службе приложений Azure не удается подключиться к DNS-серверу доменных служб Azure AD

Здесь есть несколько движущихся частей, поэтому я попытаюсь выделить настройку (PS: все доменные имена и IP-адреса ниже являются вымышленными).

Лазурный классический

У меня есть доменная служба Azure AD для mydomain.com.
На странице свойств для этой службы домена IP-адреса: 1.2.3.4 и 1.2.3.5.
Это внутри классической виртуальной сети (ClassicVNET) - адресное пространство 1.2.3.0/24

Azure RM

В AzureRM у меня есть виртуальная сеть (VNET1)
В этой виртуальной сети DNS-серверы настроены на мою доменную службу Azure, указанную выше (1.2.3.4 и 1.2.3.5). Я не использую параметр DNS «По умолчанию - предоставляется Azure».
Этот ARM VNET (VNET1) сопоставляется с классической VNET, описанной выше (ClassicVNET).

Виртуальные машины (SQL)

У меня 3 виртуальных машины под управлением SQL Server. Все три виртуальные машины находятся в сети VNET1, поэтому их DNS-серверы - 1.2.3.4 и 1.2.3.5.
Все 3 виртуальные машины присоединены к домену AD (mydomain.com).
Я использовал «инструмент DNS» администрирования Windows, чтобы создать несколько записей «A» для mydomain.com (x.y.mydomain.com и a.b.mydomain.com).
Если я сделаю nslookup на любой из машин ВМ для этих записей «А» они разрешаются правильно.
Поскольку DNS-запрос к моему домену mydomain.com работает в виртуальной машине, я предполагаю, что мои сетевые подключения между двумя виртуальными сетями (ARM и классический) правильные.

Служба приложений Azure

У меня также есть служба приложений (AppService1).
В свойстве Networking для этой службы приложения я настроил подключение VNET к моей ARM VNET (VNET1).
Если я нажму «щелкните здесь, чтобы настроить» для интеграции с VNET, я увижу, что DNS-серверы взяты из VNET (1.2.3.4 и 1.2.3.5)
У меня есть строка подключения для службы приложения со ссылкой на «x.y.mydomain.com», но я получаю таймауты при попытке ее использовать.
Если я перейду в консоль Kudu, перейду к командной строке PowerShell и введу nameresolver x.y.mydomain.com Я получаю тайм-аут DNS.

Я не могу понять, почему служба приложения (с ее интеграцией с VNET) не может получить доступ к DNS-серверам, а виртуальная машина может (а виртуальная машина и служба приложений имеют доступ к одной и той же VNET). И, да, если я использую IP-адрес, на который указывает запись «A», все работает нормально (так что я знаю, что служба приложения имеет правильное подключение к ARM VNET и SQL-серверам в этой сети).

Любые идеи?

Я не могу понять, почему служба приложения (с ее интеграцией с VNET) не может получить доступ к DNS-серверам, а виртуальная машина может (а виртуальная машина и служба приложений имеют доступ к одной и той же VNET).

Поскольку служба приложений и виртуальная машина не в том же внете.

Когда вы пытаетесь настроить подключение VNET к моей ARM VNE (VNET1), служба приложения и Vnet подключаются через VPN:

Если ваша целевая виртуальная сеть уже существует, перед подключением к приложению в ней должна быть включена VPN точка-сеть с шлюзом динамической маршрутизации. Если ваш шлюз настроен на статическую маршрутизацию, вы не можете включить виртуальную частную сеть (VPN) точка-сеть.

Итак, ваш классический AAD DS подключает ваш Vnet1 через site-to-site VPN, а ваш Vnet1 и служба приложений подключаются через point-to-site VPN, но служба приложений не может подключиться к AAD DS.

               S2S VPN               p2s vpn
   AAD DS <-------------> Vnet1 <----------> App service
     |                                           |
     -------------------Can't connect-------------

В качестве обходного пути, возможно, вы можете использовать AAD DS (ARM)Таким образом, вы можете использовать ARM vnet для создания AAD DS, тогда ваше приложение может использовать VPN-соединение типа «точка-сеть» для подключения к этой виртуальной сети.

Надеюсь это поможет.