如何为多个Azure Function Apps分配静态公网IP以满足防火墙白名单访问要求

针对你的需求——10个Function Apps要共用一个静态IP访问外部白名单系统，不用给每个App单独部署NAT Gateway、IP和子网——这里有两个实用的方案，你可以根据场景选择：

方案一：Premium Function Apps + 共享NAT Gateway（最直接的低成本方案） #

这个方案利用Azure的Regional VNet集成和NAT Gateway的多子网支持，实现所有App共用同一个出站IP：

步骤拆解 #

• 先搞定静态IP和NAT Gateway
  • 创建一个区域型静态公网IP，这就是后续所有App共用的访问IP。
  • 部署一个NAT Gateway，把刚才的静态IP绑定上去——一个NAT Gateway就够，不用搞10个。
• 配置虚拟网络和子网
  • 搭建一个虚拟网络，然后创建10个小容量子网（每个子网用/29地址段就行，因为Regional VNet集成对每个App的子网只需要少量IP）。
  • 给每个子网配置路由表，添加一条默认路由（0.0.0.0/0），下一跳选择你创建的那个NAT Gateway。这样所有子网的出站流量都会统一走这个NAT Gateway。
• 给每个Function App配置VNet集成
  • 确保你的10个Function Apps都使用Premium计划（P1v2及以上）或者Elastic Premium计划——Consumption计划不支持这种Regional VNet集成。
  • 逐个给每个App启用Regional VNet集成，分别关联到你创建的10个子网中的一个即可。

配置完成后，所有10个App的出站流量都会通过同一个NAT Gateway，使用同一个静态IP访问外部系统，你只需要把这个IP加到防火墙白名单里就可以了。虽然需要10个子网，但子网几乎没有额外成本，总比为每个App单独部署一套NAT Gateway划算太多。

方案二：用Azure API Management统一出站IP（适合有API管理需求的场景） #

如果你的Function Apps本身是对外提供API服务的，或者需要统一做认证、限流、监控，那用APIM来统一出站IP会更合适：

步骤拆解 #

• 部署一个Azure API Management实例，把你的10个Function Apps都作为后端服务添加到APIM中。
• 给APIM配置静态出站IP——可以通过APIM的VNet集成绑定静态IP，或者直接给APIM分配静态IP。
• 让所有Function Apps的出站流量都通过APIM转发（或者让外部系统只接收来自APIM的请求），这样所有请求都会使用APIM的静态IP。

这个方案的好处是能顺便把API的管理、安全需求一并搞定，但会增加APIM的成本，适合有额外API管理需求的场景。

内容的提问来源于stack exchange，提问作者Abubillo Sanz