azure - MS Azure 应用服务出站 IP 地址多久更改一次？

Question

我使用的 Azure 应用服务调用外部 API，该 API 使用 IP 地址白名单进行深度防御保护。

我知道我可以在 WebApp -> 设置 -> 属性 -> 出站 IP 地址(显示 4 个逗号分隔的 IP 地址的列表)下找到我的应用服务的出站 IP 地址，这些地址可以提供给外部API白名单。我了解 Microsoft 发布了定期更新的 Azure 数据中心 IP 地址列表，用于我可以将其列入白名单的出站流量:https://www.microsoft.com/en-us/download/details.aspx?id=41653

问题是外部 API 只能处理多个 IP 地址，而不能处理 Azure 数据中心 IP 的完整列表。仅提供 4 个逗号分隔的 IP 地址是否安全？是否有明确的 Microsoft 文档说明 IP 地址动态更改的频率或时间？

我试图寻找答案，发现两个外部站点表明它仅在移动 Azure 区域时发生变化 [引用 2] 或如果您向上/向下扩展(但向外扩展/向内显然没问题)[引用 1] 。这是正确的信息吗？

对于我的情况，Azure 应用服务环境是唯一可行的替代方案吗？

Answer 1

这次聚会迟到了，但只是为了充实这一点:

除非您使用应用程序服务环境 (ASE)，否则您不能保证入站或出站 IP 会发生变化，但是入站和出站 IP 地址之间存在一些差异。

入站 IP 何时发生变化？

入站 IP 将在以下情况发生变化:

• Delete an app and recreate it in a different resource group.
• Delete the last app in a resource group and region combination and recreate it.
• Delete an existing SSL binding, such as during certificate renewal

但是，这可以通过为入站连接获取静态 IP 配置基于 IP 的 SSL 绑定(bind)来解决 - 如果您不使用任何 SSL 功能，您甚至可以使用自签名证书.

出站 IP 地址

这是你坐的地方，这是一个更不稳定的空间，这直接来自文档:

The set of outbound IP addresses for your app changes when you scale your app between the lower tiers (Basic, Standard, and Premium) and the Premium V2 tier.

简而言之，如果您永远不会扩大或缩小规模，那么您应该没问题。

编辑:重新阅读上面的内容并进行一些测试，看起来 IP 不会改变，除非您从较低层直接升级到 Premium V2 层(反之亦然)。粗略的测试支持了这一点:

在 F1 免费套餐下运行并扩展到 P1v2 为我提供了以下 IP 地址:

缩小到任何较低层都会将 IP 地址恢复为与 F1 层相同。

可能的补救措施

一个非常具体的解决方案示例，但万一它有帮助 - 我之前解决这个问题的地方是监视网络应用程序的出站 IP 地址，如果它注意到更改，那么它可以将这些 IP 地址发送到白名单以通过以下方式进行更新API 调用 - 但这也可能导致提出高优先级票证。

我应该指出，我们可以这样做，因为一点点的中断不会造成世界末日，而且我们并不期望经常扩大和缩小规模。

否则，正如您所指出的，应用程序服务环境是您唯一的选择。

引用文献

When do inbound IPs change?

When do outbound IPs change?

Get a static inbound IP addresses