Azure App Service为何拦截Kentico调度器的请求？

这个问题我之前帮不少用户排查过，核心是Azure App Service的网络特性和Kentico调度器的请求机制共同导致的，给你梳理几个关键排查方向：

• 你可能只添加了部分出站IP
  Azure App Service的出站流量会从一组出站IP地址中随机选择，而非固定单一IP。你看到的111.3.102.102可能只是其中之一，但调度器请求下次可能用了另一台出站IP，导致被拦截。
  解决办法：

  1. 登录Azure门户，进入你的App Service → 左侧菜单「网络」→ 找到「出站IP地址」，复制所有列出的IP。
  2. 在「访问限制」里把这些IP都添加为允许规则；或者用CLI命令批量获取：

     az webapp show --resource-group <你的资源组名称> --name <你的App Service名称> --query outboundIpAddresses
     

• 访问限制规则的优先级顺序不对
  Azure的访问限制是按规则顺序匹配的，先匹配的规则会生效。如果你先配置了「拒绝所有」规则，再添加「允许特定IP」，那拒绝规则会先被触发，导致请求被拦截。
  解决办法：在「访问限制」页面，把允许规则拖动到拒绝规则的上方，确保允许规则先被匹配。

• 实际请求来源IP并非你配置的那个
  如果你开启了App Service的VNet集成、区域VNet集成，或者使用了Front Door等CDN，Kentico调度器的请求可能走特殊网络路径，出站请求的IP会变成VNet网关IP或CDN IP，而非App Service默认的出站IP。
  解决办法：开启App Service的HTTP日志（左侧菜单「监控」→「日志」→「HTTP日志」），查看触发403的请求的X-Forwarded-For或来源IP字段，确认实际请求来源后，将该IP添加到访问限制中。

• Kentico自身的权限拦截
  有时候403并非App Service防火墙返回的，而是Kentico的ASHX文件本身做了权限验证——比如检查请求是否来自本地服务器，或者是否携带特定权限令牌。
  解决办法：查看Kentico事件日志的详细错误信息，确认是否是Kentico内部的权限拦截。如果是，可以修改Kentico调度器配置，让请求使用本地回路（比如http://localhost/xxx.ashx）而非公网域名，这样请求不会离开服务器，也就不会触发App Service的访问限制。

• 访问限制规则的方向配置错误
  注意：Azure App Service的「访问限制」是针对入站请求的，而调度器的请求是从App Service出站后再作为入站请求返回的，所以你需要配置的是入站允许规则，而非出站规则（出站规则在VNet的NSG或App Service的出站流量规则中）。如果误配置了出站规则，对入站请求不会生效。

内容的提问来源于stack exchange，提问作者Dustin C