Azure同区域两个App Service配置访问限制后出现403错误问题咨询

1. 确认前端应用出站IP收集完整 #

Azure App Service的出站IP包含两类，很多场景下仅获取常规出站IP会有遗漏：

• 仅收集前端应用的outboundIpAddresses字段值不够，必须同时将possibleOutboundIpAddresses字段下的所有IP都加入API应用的访问限制白名单。当App Service Plan发生自动缩放、SKU调整、区域故障转移时，出站IP会切换到该列表内的其他地址，遗漏会导致访问被拦截。

2. 检查访问限制规则配置有效性 #

• 规则优先级：Azure访问限制规则的优先级随数值降低而升高，确认你配置的允许前端IP的规则优先级高于所有范围更大的拒绝规则（比如手动配置的0.0.0.0/0拒绝规则），建议把允许规则的优先级设为10~50的低数值，保证优先匹配。
• 格式校验：单个IP白名单必须加/32后缀，例如20.123.45.67/32，格式错误会导致规则不生效。
• 动作校验：确认规则动作明确为允许，没有和其他同优先级的拒绝规则冲突。

3. 排查网络链路是否使用公网出站 #

如果你的两个应用配置了特殊网络策略，公网IP规则不会生效：

• 如果前端应用开启了VNet集成，两个应用同区域通信默认走内部虚拟网络链路，请求来源是前端所在VNet的内网IP而非公网出站IP，需要把前端VNet的子网加入API的访问限制允许列表，而非公网IP。
• 如果API应用开启了私有端点、服务端点，公网访问限制规则会被私有网络访问策略覆盖，需要对应调整私有端点的访问控制规则。

4. 日志确认实际访问来源IP #

开启API应用的Web服务器日志，触发403报错后查询日志中的X-Forwarded-For头字段值，该值就是API收到的实际请求来源IP，和你配置的白名单IP对比即可定位是否有遗漏IP、或者走了内网链路的问题。

公网IP白名单的维护成本较高，App Service Plan调整时IP可能变化，推荐两种更可靠的同租户应用访问控制方案：

• 两个应用都开启VNet集成，配置API应用仅允许前端所在子网访问，完全关闭公网访问入口，安全性更高。
• 给前端应用分配系统托管身份，API应用开启Azure AD身份验证，仅允许持有前端托管身份有效令牌的请求访问，完全不需要维护IP规则。

内容的提问来源于stack exchange，提问作者Ian Straton