MS Azure App Services的出站IP地址有多频繁更改？

Question

我正在使用Azure应用服务调用一个使用IP地址白名单进行深度防御保护的外部API。

我知道可以在WebApp->设置->属性->出站IP地址下找到我的应用服务的出站IP地址（显示一个由4个逗号分隔的IP地址组成的列表），这些地址可以提供给外部API白名单。我了解Microsoft会定期更新Azure数据中心的IP地址列表以供出站流量使用，我可以将其加入白名单：https://www.microsoft.com/en-us/download/details.aspx?id=41653 问题是外部API只能处理一些IP地址而不是完整的Azure数据中心IP地址列表。仅提供这4个逗号分隔的IP地址是否安全？Microsoft有没有明确的文档说明IP地址何时或多久会动态更改？

我已经尝试查找答案，并找到两个外部网站，它们建议只有在移动Azure区域[Ref 2]或者缩放上/下（但是扩展和收缩是可以的）[Ref 1]时才会更改。这是正确的信息吗？

在我的情况下，Azure应用服务环境是唯一的其他可行选择吗？

- Peter Clarke

---

参考链接为：(1) https://peterintheazuresky.wordpress.com/2016/02/26/azure-web-apps-outgoing-ip-questionanswer/(2) https://feedback.azure.com/forums/169385-web-apps-formerly-websites/suggestions/6722199-dedicated-reserved-outbound-ip-address - Peter Clarke

Answer 1

晚了一步，但只是为了更加详细地说明：

除非您使用应用程序服务环境（ASE），否则无法保证入站或出站IP会更改，但是入站和出站IP地址之间存在一些差异。

何时会更改入站IP？

当以下情况发生时，入站IP将更改：

- 在不同的资源组中删除应用程序并重新创建。 - 删除区域组合中的最后一个应用程序并重新创建它。 - 删除现有的SSL绑定，例如在更新证书期间。

然而，可以通过获取入站连接的静态IP来解决这个问题，并配置基于IP的SSL绑定 - 如果您没有使用任何SSL功能，甚至可以使用自签名证书。

出站IP地址

这是您所在的空间，也是一个稍微不稳定的空间，直接从文档中摘取如下内容：

切换应用程序级别（Basic、Standard和Premium）与Premium V2层之间的缩放操作时，您的应用程序的出站IP地址集将发生更改。

简而言之，如果您不需要调整规模，则应该不会有问题。

编辑：重新阅读以上内容并进行了一些测试后，似乎它的意思是说除非您从较低层级（或反之）逐渐升级到Premium V2层级，否则IP地址不会更改。经过简单的测试证实：

在F1免费层下运行，并扩展到P1v2后，我得到了以下IP地址：

缩小到任何较低层级都会将IP地址恢复为F1层级的相同IP地址。

可能的纠正措施

一个非常具体的解决方案示例，但如果有帮助的话 - 在我之前解决这个问题的地方是监视Web应用程序的出站IP地址，如果它注意到变化，那么它可以通过API调用将这些IP地址发送到白名单进行更新 - 但这也可能只会引发高优先级的工单。

我应该指出，我们之所以能够这样做，是因为短暂的中断并不会毁掉世界，而我们也不期望经常升级和降级。

否则，如您所提到的，应用服务环境是您唯一的保险选项。

参考资料 何时更改入站IP？ 何时更改出站IP？

获取静态入站IP地址

- Steve Newstead

Answer 2

除了以上关于更改的资源之外，另一件事是可能会添加额外的IP地址以容纳出站网络呼叫的额外容量。 需要注意的具体评论是“通过最近的升级，网站服务为其每个规模单元分配了稳定的出站IP地址集。我们继续监视网络利用率，可能会添加（但永远不会删除）其他IP地址。”，来自Stefan_MS。

链接：https://social.msdn.microsoft.com/Forums/azure/en-US/fd53afb7-14b8-41ca-bfcb-305bdeea413e/maintenance-notice-upcoming-changes-to-increase-capacity-for-outbound-network-calls?forum=windowsazurewebsitespreview

- Gopi Kolla