消费层Azure Function App能否使用possibleOutboundIpAddresses配置IP白名单

核心问题答复 #

1. 能否将possibleOutboundIpAddresses列表加入合作方白名单？ #

生产环境完全不建议这么操作，仅可用于短期临时测试场景。
原因如下：

• 消费层Function App的possibleOutboundIpAddresses本质是应用当前所属Azure区域缩放单元（Scale Unit）对应的所有出站IP集合，同一区域存在多个相互独立的缩放单元，这也是你观察到同区域两个不同函数应用的possibleOutboundIpAddresses列表完全不同的核心原因。
• 该列表的IP范围并不固定，一旦发生变更就会导致你的出站调用被合作方防火墙拦截，生产环境可靠性无法保障。

2. possibleOutboundIpAddresses列表是否存在变更可能？ #

存在明确的变更风险，触发变更的常见场景包括：

• Azure平台定期对区域缩放单元进行扩容、维护，会新增、替换或下线部分出站IP，此时你的函数应用对应的possibleOutboundIpAddresses会自动更新，无需你做任何操作，也不会提前推送通知。
• 消费层Function App在触发自动扩缩容、或者平台侧进行资源调度时，可能会被重新分配到同一区域的其他缩放单元，此时整个possibleOutboundIpAddresses列表会完全替换为新缩放单元对应的IP范围，之前配置的白名单会全部失效。

低成本替代方案推荐 #

如果你不想升级到高级层Function App搭配NAT网关，可以选择以下成本更低的稳定方案：

• 使用消费层API管理（APIM）作为调用中转：Function App先调用同区域的APIM，再由APIM转发请求到合作方API，消费层APIM的出站IP是固定的，直接将APIM的出站IP加入合作方白名单即可，整体成本远低于高级层Function App + NAT网关的组合。
• 与合作方协商更换鉴权方式：放弃IP白名单校验，改用API密钥、客户端证书、OAuth2.0客户端凭证等鉴权机制，无需管控出站IP即可完成安全校验。

内容的提问来源于stack exchange，提问作者Ryan.Bartsch