多AZ部署下Azure Functions获取少量静态出站IP方案咨询

可行方案推荐 #

方案一：多AZ NAT Gateway + 固定Functions运行AZ（平衡高可用与成本） #

这是匹配你需求的最优方案，兼顾多AZ高可用和低成本：

• 操作步骤：
  1. 为每个目标可用区创建一台NAT Gateway，给每台NAT Gateway分配静态公共IP（或IP前缀），每个AZ对应一组固定的出站IP。
  2. 在虚拟网络中，将每个AZ的子网与对应NAT Gateway关联。
  3. 配置Azure Functions的区域虚拟网络集成，连接到上述配置好的子网。
  4. 使用弹性高级计划（EP1/EP2/EP3）部署Functions，在应用服务计划的「规模」设置中，指定实例运行的可用区（仅选择部署了NAT Gateway的AZ），确保所有Functions实例只在这些AZ内运行。
• 优势：单NAT Gateway月成本约35美元，整体成本远低于Azure Firewall；同时实现多AZ高可用，出站IP数量等于你选择的AZ数量，便于外部API白名单配置。
• 注意：消费计划不支持固定运行AZ，必须使用弹性高级计划（属于托管无服务器架构）。

方案二：单NAT Gateway + 固定Functions到单AZ（极致低成本，牺牲部分高可用） #

如果对成本极为敏感，可接受一定程度的AZ依赖：

• 操作步骤：
  1. 部署单台NAT Gateway（单AZ即可），分配静态公共IP。
  2. 配置Functions的区域虚拟网络集成，仅连接到该NAT Gateway所在AZ的子网。
  3. 将应用服务计划固定到该AZ，确保所有Functions实例都在此AZ运行，所有出站流量统一走这台NAT Gateway，实现单一静态出站IP。
• 优势：仅需承担单台NAT Gateway的费用，成本最低；出站IP完全单一，最便于白名单配置。
• 注意：虽然Azure会在NAT Gateway所在AZ故障时自动迁移实例，但Functions固定AZ后，整体高可用性会依赖该AZ，适合对成本敏感且风险承受能力较高的场景。

纠正你的理解误区 #

• 关于无区域NAT Gateway：无区域部署只是Azure自动选择一个AZ部署NAT Gateway，故障时可能迁移，但日常流量仍从单个AZ的NAT Gateway流出，多AZ运行的Functions会有部分流量绕开它，导致出站IP不统一。
• 关于Functions限制AZ：使用弹性高级计划的Functions可以固定运行AZ，在应用服务计划的规模配置中即可指定，这一点你之前的认知有误。
• 关于成本对比：Azure Firewall双AZ部署成本确实远高于NAT Gateway，除非你有防火墙规则管控等额外需求，否则NAT Gateway是更优的低成本选择。

内容的提问来源于stack exchange，提问作者Mihai