如何解除Azure Web应用URL的防火墙拦截限制？

单纯配置myapp.mywebsite.com到myapp.azurewebsites.net的CNAME解析记录，无法保证100%解决所有客户侧的拦截问题，是否需要额外配置Azure侧域名/IP白名单，完全取决于客户侧防火墙的规则实现逻辑，分两类常见场景：

• 七层应用层管控场景（绝大多数企业HTTP/HTTPS白名单的默认规则）
  这类防火墙只校验HTTPS握手时的SNI字段、HTTP请求头里的Host字段是否命中白名单，不会追溯DNS的CNAME解析链路。只要你在Azure App Service后台完成myapp.mywebsite.com的自定义域名绑定（完成域名所有权校验，否则Azure侧会返回404），所有访问都走你自己的子域名，请求的SNI和Host值都属于*.mywebsite.com范围，完全匹配客户已放行的白名单规则，不会被拦截，不需要额外添加azurewebsites.net相关域名或IP的白名单。

  关键提醒：不能只在域名服务商处配CNAME，不在Azure侧绑定自定义域名，否则访问时Azure无法识别请求对应的是你的Web应用，会直接返回默认错误页。

• DNS/网络层管控场景
  部分防火墙会做DNS解析链路校验、四层IP管控：要么递归查询访问域名的全量CNAME链，只要链路上出现未加白的域名（比如这里的azurewebsites.net）就直接拦截；要么直接基于目的IP做访问控制，不在白名单IP段的流量直接丢弃。这类场景下就算你用自有子域名访问，还是会被拦截，必须协调客户把myapp.azurewebsites.net或者Azure App Service对应的入站IP段加入白名单才能正常访问。

不用等全量配置上线，你可以先在客户的网络环境下做两步测试确认规则类型：

1. 先完成Azure侧自定义域名绑定、公网CNAME解析配置，直接在客户网络内访问https://myapp.mywebsite.com，如果能正常加载应用，说明客户是七层规则，问题已经解决
2. 如果访问被拦截，在客户网络内执行nslookup myapp.mywebsite.com，如果返回结果里能看到指向azurewebsites.net的CNAME记录，基本可以判定客户防火墙做了解析链校验，这时候再协调客户补充对应白名单即可

内容的提问来源于stack exchange，提问作者learner