Azure App Service SFTP出站报错：以访问权限禁止的方式访问套接字

Kudu环境的运行上下文与App Service线上业务进程的运行上下文完全独立，Kudu使用高权限管理账户运行，不受应用沙箱的部分权限限制，因此Kudu能连通不代表业务代码能正常调用。

以下是最常见的故障原因和对应修复方案：

• SSH.NET版本兼容问题
  旧版本（低于2020.0.0版）的SSH.NET在Windows环境下会尝试调用原生WinSock API设置低级套接字参数，该操作会被Azure App Service沙箱拦截，触发权限报错。
  修复方式：将SSH.NET Nuget包升级到最新稳定版，新版本已经适配了Azure沙箱的权限限制，移除了越权的套接字操作。
• 代码硬编码绑定本地源端口
  如果SSH.NET连接代码中手动指定了本地发起连接的源端口，App Service沙箱会禁止应用绑定自定义端口，触发权限错误。
  修复方式：移除代码中对ConnectionInfo或者套接字本地端口的指定配置，使用系统默认分配的动态端口发起连接即可。
• 多余SSH配置触发权限拦截
  部分非必要的SSH配置项会触发沙箱拦截：比如开启SSH代理、端口转发、X11转发等功能，这些操作需要更高的套接字权限。
  修复方式：初始化SFTP连接时显式关闭不需要的功能，示例代码如下：

  var connectionInfo = new ConnectionInfo("sftp服务器地址", 22, "用户名",
      new PasswordAuthenticationMethod("用户名", "密码"));
  // 关闭不需要的转发功能
  connectionInfo.ProxyType = ProxyTypes.None;
  connectionInfo.KeepAliveInterval = TimeSpan.FromSeconds(30);
  using (var sftp = new SftpClient(connectionInfo))
  {
      sftp.Connect();
      // 后续文件上传业务逻辑
  }
  

• 自定义端口配置冲突
  极少数情况下如果应用手动配置了WEBSITE_PRIVATE_PORTS私有端口范围参数，会导致动态端口分配失败触发报错。
  修复方式：在App Service的配置页删除WEBSITE_PRIVATE_PORTS相关的自定义配置，重启应用后重试即可。
• Linux容器权限问题
  如果使用的是Linux容器类App Service，需要确认容器运行用户不是root以外的低权限用户，且没有配置禁止非root用户访问端口的安全规则。

内容的提问来源于stack exchange，提问作者jong shin