如何限制Azure函数应用出站请求实现函数完全隔离

要实现FunctionApp上所有函数的完全网络隔离，需要覆盖代码层请求、平台绑定流量、管理通道旁路流量三个维度的出站拦截，不能只靠单一层面的配置，具体步骤如下：

1. 基础网络层接管：启用VNet全流量集成 #

这一步的核心是把FunctionApp的所有出站流量从Azure默认的公网通道切到你自定义的VNet路由体系下，从根源上收回流量控制权：

• 在FunctionApp的网络配置页，找到VNet集成选项，绑定提前创建好的、已委托给Microsoft.Web/serverFarms服务的专用子网
• 开启VNet集成的路由所有流量（Route All）开关这是最容易漏的关键配置，不开启的情况下只有访问VNet私网地址的流量会被导入VNet，其余公网请求仍然走FunctionApp自带的公网出口，完全起不到隔离作用
• 确认开启后，FunctionApp将不再使用应用服务平台的默认公网出站IP，所有出站流量全部走绑定的子网

2. 路由层阻断所有对外流量 #

把流量导入VNet之后，直接在路由层把所有对外流量丢弃，不需要额外的精细化过滤规则：

• 找到该委托子网关联的路由表，删除所有默认指向“Internet”的0.0.0.0/0公网路由条目
• 新增一条静态路由：地址前缀为0.0.0.0/0，下一跳类型选择“空（Null）”，所有匹配该前缀的出站流量会被直接丢弃，根本无法送达外部地址
• 给该子网关联的网络安全组（NSG）配置双保险：删除所有允许出站的自定义规则，保留默认的“拒绝所有出站流量”规则，就算路由配置出现疏漏，NSG也会把所有出站流量拦截

3. 堵死平台层的旁路出站通道 #

Azure FunctionApp存在多个不经过应用路由、不经过VNet集成的内置出站通道，不关闭的话就算网络层配完也会有流量漏出去：

• 删除FunctionApp上配置的所有混合连接（Hybrid Connections）、应用服务网关等旁路网络通道，这类通道会直接绕过VNet路由发起对外请求
• 检查FunctionApp绑定的主存储账号，将存储账号的公网访问权限完全关闭；如果确实需要函数运行时的存储通信，就通过VNet私有端点把存储账号接入你的VNet，确保这部分流量不会走出私网范围
• 关闭SCM站点（高级发布管理站点）的公网访问权限，将SCM站点的访问也强制走VNet通道，避免调试、发布通道的流量从公网出去
• 移除所有指向外部公网服务的函数绑定：包括公网Blob存储输出绑定、公网服务总线绑定、对外HTTP调用的触发绑定等，这类绑定的流量是Azure平台层发起的，不会被应用层的路由规则覆盖

4. 常见配置踩坑点 #

• 只配置应用层面的出站域名限制：这类限制只能拦截函数代码主动发起的请求，对平台层发起的绑定流量、SCM通道流量完全无效，达不到完全隔离的效果
• 开启VNet集成但没开全流量路由：这是最普遍的配置错误，没开全流量路由的VNet集成只负责转发访问私网地址的流量，公网请求仍然走应用服务的自带公网出口，完全不会被拦截
• 只配路由不做NSG兜底：VNet路由配置错误（比如误删了Null路由）的情况下，流量会直接走默认公网通道，必须用NSG的默认拒绝规则做双保险

5. 隔离效果验证 #

配置完成后必须做全量验证，避免存在疏漏：

• 部署测试函数，代码中主动发起几类典型的对外请求：访问公网天气API、通过SDK拉取公网Blob存储的数据、调用任意公网URL，观察所有请求是否直接超时、无响应
• 查看函数运行的实时日志，确认没有任何成功的对外请求记录
• 检查FunctionApp的平台指标，确认出站流量计数器为0，没有异常的流量发送记录

注意：如果需要保留函数对部分内部资源的访问，只需要在路由表和NSG中单独放通对应私网地址段的路由和安全规则即可，不需要改动全量阻断的核心逻辑。

内容的提问来源于stack exchange，提问作者Nikolay Kosarev