Azure中Web应用添加出站IP后仍无法访问Blob存储问题求助

1. 核实Web App实际出站IP是否匹配 #

• 首先确认Web App的所有出站IP是否完整收集：在Azure门户Web App面板的「属性」页，除了出站IP地址列表，还要注意如果Web App做了定价层调整、区域缩放操作，还需要把额外出站IP地址列表里的所有IP也全部添加到存储账户防火墙。
• 如果Web App开启了VNet集成：
  • 检查配置项WEBSITE_VNET_ROUTE_ALL是否设为1，该配置为开启状态时所有出站流量会走VNet，公网出站IP不会生效，需要将绑定的VNet子网添加到存储账户防火墙的「虚拟网络」允许列表，或者将VNet绑定的NAT网关公网IP添加到存储IP允许列表。
  • 如果存储账户配置了私有端点，需确认Web App所在VNet与存储私有端点所在VNet网络互通，且Web App的DNS解析指向存储私有端点IP。

2. 核实存储账户网络配置 #

• 检查存储账户防火墙的「允许访问的来源」是否设置为「所选网络」，如果误开了「禁用所有公网访问」，即使添加IP也会被拦截。
• 确认存储防火墙的IP允许列表中没有重复、错误的IP段（比如掩码配置错误），添加单IP时要确保掩码为/32。
• 如果配置了存储防火墙例外规则，确认没有误勾选「排除来自专用IP地址空间的流量」这类不符合当前场景的配置。

3. 区分故障是网络层面还是权限层面 #

• 访问存储账户的「活动日志」，筛选对应时间的失败请求，查看错误详情：
  • 如果错误原因为NetworkAclDeny，说明确实是网络访问规则拦截，回到前两步核对IP/VNet配置。
  • 如果错误原因为AuthorizationFailure，说明是身份权限问题，需检查Web App使用的托管标识、连接字符串中的SAS令牌/账户密钥是否有对应Blob的访问权限。

4. 临时验证方案 #

• 可以临时将存储账户防火墙设置为「允许所有网络」，测试Web App是否能正常访问，如果可以访问则100%为网络ACL配置问题，再逐步缩小排查范围；如果仍然报错则为身份权限、应用代码配置问题。

内容的提问来源于stack exchange，提问作者clank