如何查找Azure AKS集群的出站IP地址

背景说明 #

AKS集群的入站流量（如外部用户访问Ingress服务）和集群内部发起的出站流量（如Pod访问外部数据库、第三方接口）默认走独立的网络链路，使用不同的公网IP资源，因此直接将Ingress生成的入站公网IP加入外部服务白名单无法生效，需要单独获取集群的出站IP配置白名单。

查询出站IP的两种常用方式 #

• Azure CLI直接查询 #

  执行以下命令，替换命令中的<资源组名>和<AKS集群名>为你的实际资源参数，即可直接输出集群默认出站公网IP列表：

  az aks show --resource-group <资源组名> --name <AKS集群名> --query "networkProfile.outboundIPs.publicIPs[].address" -o tsv
  

  如果命令返回多个IP，需将所有IP全部加入白名单，避免负载均衡路由切换时出现连通性故障。

• 集群内直接验证出口IP #

  若你只有集群的kubectl操作权限，可通过临时Pod直接查询实际请求的出口IP：

  kubectl run -it --rm aks-ip-check --image=appropriate/curl -- curl -s ifconfig.me
  

  命令执行完成后会直接输出当前集群出口的公网IP，该结果也可用于白名单配置完成后的连通性验证。

特殊场景说明 #

• 若你的AKS集群关联了NAT网关作为统一出口，所有出站流量会优先走NAT网关的公网IP，此时需将NAT网关的IP加入白名单，上述AKS默认出站IP不会生效。
• 若需要避免集群扩缩容、升级导致出站IP变动，建议配置AKS固定出站IP功能，确保白名单长期生效。

内容的提问来源于stack exchange，提问作者Ben Gannaway