Azure函数配置私有端点后访问本地SQL与外部调用问题咨询

问题1：私有端点创建后Azure函数仍无法访问本地SQL Server，是否需要加白名单？ #

需要，但需覆盖以下几个网络范围，同时排查路由和连通性：

• 把私有端点的私有IP地址加入本地SQL Server防火墙白名单：在Azure门户找到私有端点资源，进入「网络接口」查看其私有IP，将该IP添加到SQL Server的防火墙允许列表。
• 若Azure函数启用了VNet集成，需将函数所在子网的地址范围也加入SQL Server白名单：函数的出站流量可能从子网IP段发出，仅加私有端点IP可能不够。
• 验证本地到Azure的网络连通性：确保已通过VPN网关/ExpressRoute建立本地与Azure VNet的连接，路由表中存在从本地到私有端点子网的路由规则，无防火墙/NSG阻断1433端口（SQL默认端口）。
• 测试基础连通性：在函数中添加简单测试代码，比如用sqlcmd -S <本地SQL实例地址> -U <用户名> -P <密码>验证是否能建立连接，区分是网络问题还是SQL认证/权限问题。

问题2：绑定私有端点后外部应用无法访问函数，CI/CD发布异常 #

这是因为默认绑定私有端点后，函数的公网访问会被限制，同时CI/CD工具可能从公网访问函数管理端点导致失败，解决方案如下：

恢复外部应用访问 #

• 调整函数的访问限制规则：进入Azure函数的「网络」-「访问限制」，添加允许外部应用的公网IP段；若安全允许，可暂时设置为「允许所有网络」测试。注意：高级/专用计划的函数还需检查子网是否开启了公网访问权限。
• 避免禁用公共网络访问：创建函数的私有端点时，不要勾选「禁用公共网络访问」选项，这样可同时保留私有端点和公网访问能力。

修复CI/CD发布异常 #

• 使用ARM模板/服务主体部署：放弃直接通过函数公网URL部署，改用Azure资源管理器（ARM）模板，通过具备函数Contributor权限的服务主体进行认证部署（Azure DevOps、GitHub Actions均支持此方式）。
• 将CI/CD服务器IP加入访问限制：如果必须用传统的基于URL的部署，把CI/CD工具所在服务器的公网IP添加到函数的访问限制白名单中。
• 切换函数计划类型：消费计划绑定私有端点后公网访问限制较严格，建议切换到高级计划或专用计划，获得更灵活的网络配置权限。

内容的提问来源于stack exchange，提问作者Gunaprasad Shetty