排查 Azure 专用终结点连接问题

本文提供了有关验证和诊断 Azure 专用终结点连接设置的分步指导。

Azure 专用终结点是一个网络接口,可以通过私密且安全的方式连接到专用链接服务。 此解决方案提供从虚拟网络到 Azure 服务资源的专用连接,帮助保护 Azure 中的工作负荷。 此解决方案可以有效地将这些服务接入虚拟网络。

下面是专用终结点可用的连接方案:

  • 同一区域中的虚拟网络

  • 区域对等互连的虚拟网络

  • 全球对等互连的虚拟网络

  • 基于 VPN 或 Azure ExpressRoute 线路的客户本地连接

诊断连接问题

查看下面的步骤,确保所有一般配置都符合预期,以解决专用终结点的连接问题。

  1. 通过浏览资源查看专用终结点配置。

    a. 转到“专用链接中心”

    Screenshot of Private Link Center.

    b. 在左侧窗格中,选择“专用终结点”。

    Screenshot of private endpoints.

    c. 筛选并选择要诊断的专用终结点。

    d. 查看虚拟网络和 DNS 信息。

    • 验证连接状态是否为“已批准”。

    • 确保 VM 已连接到托管专用终结点的虚拟网络。

    • 检查是否分配了 FQDN 信息(复制)和专用 IP 地址。

      Screenshot of virtual network and DNS configuration.

  2. 使用 Azure Monitor 查看是否有数据在流动。

    a. 在“专用终结点”资源中,选择“指标”。

    • 选择“传入字节”或“传出字节” 。

    • 查看在尝试连接到专用终结点时是否有数据在流动。 预计延迟大约为 10 分钟。

      Screenshot of verify private endpoint monitor.

  3. 使用 Azure 网络观察程序中的“VM 连接故障排除”

    a. 选择客户端 VM。

    b. 选择“连接故障排除”,然后选择“出站连接”选项卡。

    Screenshot of Network Watcher - Test outbound connections.

    c. 选择“使用网络观察程序进行详细的连接跟踪”

    Screenshot of Network Watcher - Connection troubleshoot.

    d. 选择“按 FQDN 进行测试”

    • 从专用终结点资源粘贴 FQDN。

    • 提供一个端口。 通常,对于 Azure 存储或 Azure Cosmos DB,请使用 443;对于 SQL,请使用 1336。

    e. 选择“测试”,验证测试结果

    Screenshot of Network Watcher - Test results.

  4. 测试结果中的 DNS 解析必须包含分配给专用终结点的同一专用 IP 地址。

    a. 如果 DNS 设置不正确,请执行以下步骤:

    • 如果使用专用区域:

      • 确保客户端 VM 虚拟网络与专用区域相关联。

      • 检查是否存在专用 DNS 区域记录。 如果不存在,请创建它。

    • 如果使用自定义 DNS:

    b. 如果连接由于网络安全组 (NSG) 或用户定义的路由而失败:

    • 检查 NSG 出站规则,并创建相应的出站规则来允许流量。

      Screenshot of NSG outbound rules.

  5. 源虚拟机应将到专用终结点 IP 下一个跃点的路由作为网络接口有效路由中的 InterfaceEndpoint。

    a. 如果在源 VM 中看不到专用终结点路由,请检查

    • 源 VM 和专用终结点是否属于同一个虚拟网络。 如果是,则需联系支持部门。

    • 源 VM 和专用终结点是否属于直接彼此对等互连的不同虚拟网络。 如果是,则需联系支持部门。

    • 源 VM 和专用终结点是否属于不直接彼此对等互连的不同虚拟网络,然后检查虚拟网络之间是否存在 IP 连接。

  6. 如果连接的验证结果符合预期,则连接问题可能与应用层的其他方面(例如机密、令牌和密码)相关。

  7. 在提交支持票证之前,最好是先缩小问题范围。

    a. 如果源为本地,连接到 Azure 中的专用终结点遇到问题,则:

    • 尝试从本地连接到另一台虚拟机。 检查是否具有从本地到虚拟网络的 IP 连接。

    • 尝试从虚拟网络中的虚拟机连接到专用终结点。

    b. 如果源为 Azure 且专用终结点位于不同的虚拟网络中,则:

    • 尝试从其他源连接到专用终结点。 通过从其他源进行连接,可以隔离任何特定于虚拟机的问题。

    • 尝试连接到与专用终结点属于同一虚拟网络的任何虚拟机。

  8. 如果已将专用终结点链接到已链接到负载均衡器的专用链接服务,请检查后端池是否报告正常。 修复负载均衡器健康状况会修复与连接到专用终结点有关的问题。

    • 可以通过转到以下目标来查看相关资源、指标和见解的可视化关系图或资源视图

      • Azure Monitor

      • 网络

      • 专用终结点

      • 资源视图

如果问题仍未解决,并且连接问题仍然存在,请联系 Azure 支持团队。

后续步骤