Azure容器实例自托管DevOps代理IP不匹配问题求助

我之前帮客户排查过完全相同的问题，这种情况其实是Azure Container Instance（ACI）的一个容易被忽略的细节——你配置的公网IP通常是入站访问用的，而容器的出站流量（也就是DevOps代理访问Azure资源时用的IP）可能走了另一条路径，导致和你绑定的IP不一致。下面是具体的排查和解决步骤：

先排查核心原因 #

• 首先确认你的ACI是否部署在**自定义虚拟网络（VNet）**中：如果是，ACI的出站流量会默认走VNet的出站路径，而不是你绑定的那个公网IP（那个IP仅用于外部访问容器）。
• 你可以在Azure CLI里运行这个命令，确认ACI绑定的公网IP：

  az container show --resource-group <你的资源组名> --name <容器实例名> --query 'ipAddress.ip'
  

  然后把这个IP和报错里的未授权IP对比，如果不一样，就说明出站走了其他IP。

针对性解决方法 #

情况1：ACI未部署在自定义VNet中 #

即使没在VNet里，ACI的出站IP也可能来自Azure的共享IP池，和入站IP不统一。这时候你需要给ACI配置固定的出站公网IP：

1. 创建一个Standard SKU的公网IP（Basic SKU不支持绑定出站）：

   az network public-ip create --resource-group <你的资源组名> --name <固定IP名称> --sku Standard --allocation-method Static
   

2. 重新部署ACI（或者更新现有ACI），指定这个IP作为出站IP：

   az container update --resource-group <你的资源组名> --name <容器实例名> --outbound-ip-addresses <固定IP名称>
   

   这样容器的入站和出站流量都会用同一个固定IP，把这个IP加入白名单即可。

情况2：ACI部署在自定义VNet中 #

这种情况下必须通过NAT网关来统一出站IP：

1. 在VNet中创建一个NAT网关，并分配一个Standard SKU的固定公网IP；
2. 将ACI所在的子网关联到这个NAT网关；
3. 之后所有子网内的ACI出站流量都会走NAT网关的固定IP，把这个IP加入资源的防火墙白名单即可。

验证步骤 #

为了确保万无一失，你可以进入ACI容器内部，执行以下命令查看实际的出站IP：

curl ifconfig.me

或者

wget -qO- ifconfig.co

这个返回的IP就是你需要加入白名单的正确IP，把它添加到Azure资源的防火墙规则里，DevOps代理就能正常访问资源了。

内容的提问来源于stack exchange，提问作者Lee Harrison