Azure Function发布后调用外部API连接超时故障如何排查？

• 端口规则未放行：外部API服务商仅配置了IP白名单，但未放开对应服务端口的入站权限，部分非通用端口（如非80/443的业务端口）容易被服务商侧防火墙默认拦截。同时需检查Azure侧关联的网络安全组(NSG)是否配置了出站规则，允许访问目标API的IP和端口。
• 请求特征被WAF拦截：服务商侧Web应用防火墙拦截了请求的特征字段，常见场景包括：Restsharp默认的RestSharp/版本号格式User-Agent被标记为工具类请求拦截、请求头缺少服务商要求的特定参数、请求体包含WAF规则命中的敏感字符。这类拦截通常不会返回错误响应，直接丢弃数据包导致连接超时。
• VNet集成路由异常：如果Azure Function开启了VNet集成，即使获取到的出口IP在白名单内，若VNet配置了强制隧道、自定义路由将流量转发到内部防火墙/VPN网关，而内部网络未开放目标API的访问权限，也会导致请求失败。
• TLS配置不匹配：代码中指定的TLS版本低于外部API要求（目前多数API仅支持TLS 1.2及以上版本），或SNI（服务器名称指示）配置被禁用，导致TLS握手阶段被服务商侧拦截。
• 代理配置失效：代码或应用配置中指定了本地可用的代理服务器，发布到Azure后代理不可达，导致请求无法正常发出。

• 未绑定VNet的消费计划/弹性Premium计划Function，出站流量默认走Azure公共网络出口，出口IP为Azure门户中Function应用「属性」页面列出的全部出站IP范围内的地址，同区域同部署集群的应用会共享公网出口IP池。
• 绑定VNet的Function，出站流量完全遵循VNet的路由规则，优先通过VNet配置的NAT网关、Azure防火墙、VPN隧道等出口转发，公网出口IP以VNet侧配置的出口资源IP为准，不再使用应用默认的出站IP池。
• Azure平台默认仅限制消费计划Function使用25端口发起SMTP请求，其他常用端口无特殊出站限制，所有请求遵循对应部署计划的网络带宽限速规则。

• 进入Function应用的Kudu控制台，使用tcping 目标API域名 端口命令测试网络层连通性，确认是否为端口不通导致的超时。
• 开启Restsharp的完整请求日志，打印请求头、TLS版本配置信息，确认是否存在参数不匹配问题。
• 检查Function的网络配置项，确认是否开启VNet集成、是否关联了带出站限制的NSG或Azure防火墙资源。

内容的提问来源于stack exchange，提问作者Darshana