Azure App Service添加超512个IP白名单的解决方法

首先明确：App Service 单实例ipSecurityRestrictions配置项的512条规则是硬配额，无法直接申请提升，不需要改动现有自动化部署架构、成本最低的方案如下：

• 优先方案：对571个零散IP做CIDR网段聚合
  正规第三方监控服务的出口IP本身就是按连续地址段分配的，571个独立IP（本质是/32位掩码的主机路由）经过CIDR聚合后，规则数量通常会降到几十条，远低于512的配额上限。你只需要把现有部署脚本里逐行添加单个/32 IP规则的部分，替换为聚合后的CIDR段规则即可，Azure原生支持任意合法掩码长度的CIDR配置，不需要额外开通功能，脚本的配置逻辑、调用的API/CLI/PowerShell命令完全不需要调整，只是把传入的IP地址参数从单IP换成CIDR段就行。
  举个Azure CLI配置的示例，原来添加单IP的命令写法：

  az webapp config access-restriction add \
    --resource-group your-rg-name \
    --name your-app-service-name \
    --rule-name allow-monitor-single \
    --action Allow \
    --ip-address 203.0.113.5/32 \
    --priority 100
  

  替换为聚合后CIDR的写法没有任何结构变化，仅修改IP参数：

  az webapp config access-restriction add \
    --resource-group your-rg-name \
    --name your-app-service-name \
    --rule-name allow-monitor-cidr \
    --action Allow \
    --ip-address 203.0.113.0/24 \
    --priority 100
  

• 极端情况兜底方案：如果这批IP完全离散、聚合后规则数仍然超过512（正规服务商提供的出口IP列表几乎不会出现这种情况），直接给App Service挂同区域基础版Azure Front Door即可：
  1. 在Front Door的WAF自定义规则里配置IP允许集，单条IP匹配规则最多支持添加600个IP地址，刚好覆盖你571个IP的需求
  2. App Service侧的访问限制只需要配置允许AzureFrontDoor.Backend服务标签访问，锁死只允许Front Door回源即可
  3. 整体脚本改动量不超过10行，不需要额外运维虚机或者复杂网关资源，成本远低于部署应用网关、自建反向代理的方案。

避坑提示：不要选择自建Nginx反向代理、部署独立应用网关这类方案，架构改动量大、后续运维成本高，完全不符合最简实现的要求。

内容的提问来源于stack exchange，提问作者Matthew Dresser