Azure子网环境下Python pip需开放的端口及IP地址范围咨询

我之前在Azure Function的受限子网环境里折腾过pip的NSG规则配置，结合实际踩坑和官方信息，给你梳理清楚需要开放的端口和IP相关细节：

pip默认通过HTTPS协议拉取包，所以只需要开放443端口的出站流量即可。早年pip还支持HTTP（80端口），但现在PyPI官方已经强制HTTPS，80端口基本用不上了，不用额外开放。

这里要注意一个关键问题：PyPI的主仓库（pypi.org）和包存储节点（files.pythonhosted.org）是通过全球CDN分发的，没有固定不变的静态IP段。不过你可以通过以下方式获取当前有效的IP范围：

• 用DNS查询命令实时获取节点IP，比如在本地或Azure Cloud Shell里执行：

  dig pypi.org +short
  dig files.pythonhosted.org +short
  

  这些返回的IP就是当前CDN节点的地址，你可以把它们添加到NSG的出站允许规则里。
• 因为CDN节点会定期更新，建议你定期重新查询并更新NSG规则，避免突然出现包拉取失败的情况。

如果不想频繁维护IP规则，还有两个更稳妥的方案：

• 离线打包依赖：在本地环境用pip wheel --wheel-dir=./wheels <你的依赖包>把所有依赖打包成wheel文件，然后和Function代码一起部署，这样完全不需要出站流量，最安全。
• 使用Azure Private Link：如果你的Azure环境支持，可以配置Private Link来访问PyPI的私有端点，这样流量完全在Azure虚拟网络内部流转，不需要开放公网IP的出站规则。

内容的提问来源于stack exchange，提问作者qvt