【Azure 应用服务】App Service与APIM同时集成到同一个虚拟网络后，如何通过内网访问内部VNET的APIM呢？

问题描述

App Service访问的APIM已配置内部虚拟网络(Internal VNet)并拥有内网IP地址。App Service与APIM都在相同的虚拟网络(VNET)中。App Service如何通过内网访问APIM呢？是否需要在虚拟网络中添加自定义DNS服务进行域名解析呢？

问题答案

是的，由于APIM配置的是内部虚拟网络，它只能接收从虚拟网络内部发送的请求，而无法接受从公网(Internet)发送的请求。所以App Service需要访问APIM，需要走内部虚拟网络的链路。同时，由于APIM的访问是通过域名访问，所以也必须需要DNS服务器来解析内网IP地址。

在App Service端需要的配置为

• WEBSITE_VNET_ROUTE_ALL 设置为 1，让App Service所有的出站流量都可以被发送到 VNET中

在VNET中为APIM配置DNS记录

假设APIM的内部虚拟 IP 地址为 10.1.0.5，且APIM的名称为contosointernalvnet，则需要在DNS中配置以下指向的DNS A记录：

• 10.1.0.5 contosointernalvnet.azure-api.cn

• 10.1.0.5 contosointernalvnet.portal.azure-api.cn

• 10.1.0.5 contosointernalvnet.developer.azure-api.cn

• 10.1.0.5 contosointernalvnet.management.azure-api.cn

• 10.1.0.5 contosointernalvnet.scm.azure-api.cn

参考资料

将App Service应用与 Azure 虚拟网络集成：https://docs.azure.cn/zh-cn/app-service/web-sites-integrate-with-vnet#azure-dns-private-zones

在内部虚拟网络中使用 Azure API 管理服务：https://docs.azure.cn/zh-cn/api-management/api-management-using-with-internal-vnet

附录信息

区域 VNet 集成的工作原理

应用服务中的应用托管在辅助角色上。 基本和更高的定价计划是专用托管计划，其中不会有任何其他客户的工作负载在同一辅助角色上运行。 区域 VNet 集成通过使用委托子网中的地址装载虚拟接口实现。 发送地址位于 VNet 中，因此它可以像 VNet 中的 VM 那样，访问位于 VNet 中或通过 VNet 传输的大多数内容。 网络实现不同于在 VNet 中运行 VM。 这就是一些网络功能尚不可用于此功能的原因。

启用区域 VNet 集成后，应用通过往常所用的通道对 Internet 进行出站调用。 应用属性门户中列出的出站地址是应用仍然在使用的地址。 就应用而言，变化在于：对服务终结点保护服务的调用或者 RFC 1918 地址进入 VNet 中。 如果 WEBSITE_VNET_ROUTE_ALL 设置为 1，所有出站流量都可以被发送到 VNet 中。

DNS 配置

如果 API 管理采用外部虚拟网络模式，则 DNS 由 Azure 管理。 使用内部虚拟网络模式时，必须自行管理 DNS。

• 备注：API 管理服务不会侦听来自 IP 地址的请求， 它只响应到发往其服务终结点上配置的主机名的请求。 这些终结点包括网关、Azure 门户和开发人员门户、直接管理终结点和 Git。

基于默认主机名的访问权限

创建 API 管理服务（例如“contosointernalvnet”）时，将默认配置以下服务终结点：

• 网关或代理：contosointernalvnet.azure-api.net

• 开发人员门户：contosointernalvnet.portal.azure-api.cn

• 新开发人员门户：contosointernalvnet.developer.azure-api.cn

• 直接管理终结点：contosointernalvnet.management.azure-api.cn

• Git：contosointernalvnet.scm.azure-api.net

若要访问这些 API 管理服务终结点，可以在连接到虚拟网络（其中部署了 API 管理）的子网中创建虚拟机。 假设服务的内部虚拟 IP 地址为 10.1.0.5，则可映射 hosts 文件 (%SystemDrive%\drivers\etc\hosts)，如下所示：

• 10.1.0.5 contosointernalvnet.azure-api.cn

• 10.1.0.5 contosointernalvnet.portal.azure-api.cn

• 10.1.0.5 contosointernalvnet.developer.azure-api.cn

• 10.1.0.5 contosointernalvnet.management.azure-api.cn

• 10.1.0.5 contosointernalvnet.scm.azure-api.cn

然后即可从创建的虚拟机访问所有服务终结点。 如果在虚拟网络中使用自定义 DNS 服务器，则还可创建 DNS 记录并从虚拟网络中的任何位置访问这些终结点。