Azure K8s外部IP加入App Service白名单后访问报403问题

• 仅将Ingress Controller LoadBalancer的外部IP加入App Service访问白名单是错误配置，这也是你访问返回403 Forbidden的直接原因。
• 该LoadBalancer 仅承担K8s集群入站流量转发职责，负责把外部请求转发到集群内部服务，完全不参与集群内部负载访问外部服务的出站流量转发，Pod访问外部服务时的源IP和这个入站LB的公网IP没有任何关系。

• 先确认K8s集群访问外部服务的真实出站公网IP：
  • 最快的验证方式是在集群内启动一个临时调试Pod，执行curl ifconfig.me，命令返回的IP地址就是集群访问外部公网服务时实际携带的源IP。
  • 如果你使用的是云厂商托管K8s服务，默认情况下集群出站流量走节点SNAT或者绑定的NAT网关，需要将NAT网关公网IP、所有节点的公网IP/节点所属公网IP段加入白名单；如果集群单独部署了出口网关（比如Egress Gateway、自建出口NAT），直接将出口网关的公网IP加入白名单即可。
• 将上一步查到的真实出站IP加入Azure App Service的访问限制白名单，保存配置后等待30秒左右规则生效即可。
• 若配置后仍无法访问，检查集群是否配置了自定义出站路由、是否有全局网络策略拦截了到App Service的流量，同时确认App Service没有开启其他额外的访问认证规则拦截请求。

常见误区：Ingress入站LB和集群出站流量路径完全独立，二者使用的公网IP没有绑定关系，入站LB的IP仅用于外部访问集群内服务，不能作为集群访问外部服务的源IP使用。

内容的提问来源于stack exchange，提问作者user14856694