使用 AlwaysOn 的 10.0.128.25 地址作为 Azure 应用服务中的 IP 限制？答案

【问题标题】：Using 10.0.128.25 address for AlwaysOn for IP restrictions in Azure App Service?使用 AlwaysOn 的 10.0.128.25 地址作为 Azure 应用服务中的 IP 限制？
【发布时间】：2018-08-30 13:03:37
【问题描述】：

在网络服务器日志（使用 az cli）中，我可以看到使用用户代理 AlwaysOn 和 IP 地址 10.0.128.25 获取请求

此 IP 地址能否可靠地用于设置允许 IP 限制？

https://docs.microsoft.com/en-us/azure/app-service/app-service-ip-addresses 中没有记录此 IP 地址，这似乎涵盖了发现公共 IP 地址，所以我对使用它持谨慎态度？

在日志中我还看到 IPv6 ::1 表示本地主机，所以我猜 10.0.128.25 也是本地主机？

2018-08-30 10:48:19 EXAMPLESITE GET / X-ARR-LOG-ID=ExampleLogId 80 - ::1 AlwaysOn ARRAffinity=ExampleArrAffinityId - EXAMPLESITE.azurewebsites.net 200 0 0 2942 695 108
2018-08-30 10:48:54 ~1EXAMPLESITE GET / - 80 - 10.0.128.25 AlwaysOn - - examplesite.azurewebsites.net 200 0 64 0 457 46463

我尝试使用应用服务控制台和 Kudu powershell 控制台查看它是否是实例的 IP 地址，但我无法发现更多信息，因为 ipconfig 和 Get-NetIPAddress 似乎在沙箱中工作。

我猜 127.0.0.1 不会工作，即使它是同一台机器，因为 IIS 将其解释为另一个 IP？

到目前为止，在我尝试过的两个应用服务计划中，它是相同的 IP。

【问题讨论】：

你能显示你的日志吗？是否要确认此 IP 10.0.128.25 是否可以设置为允许 IP 限制？
感谢@NancyXiong-MSFT 我已经添加了我的日志，其中的站点名称已被编辑。我不确定 ~ 在日志中代表什么。有趣的是，IPv6 请求具有 arr 关联性详细信息，而 IPv4 没有。我从日志中了解到 10.0.128.25 是 AlwaysOn http 请求，但我希望了解的是内部实现，10.0.128.25 是什么，它是静态的吗？

标签： azure-web-app-service ip-address azure-app-service-plans ip-restrictions

【解决方案1】：

每个应用服务 Web 应用有两个站点，一个是您的普通 WebApp，第二个是 SCM 站点（Kudu 运行的地方）。每个都会收到一个 ping，这就是为什么您会看到两个（~1 名称是 SCM）站点。

所有 Azure Web 应用程序（以及移动应用程序/服务、WebJobs 和函数）都在称为沙盒的安全环境中运行。每个应用都在自己的沙箱中运行，将其执行与同一台机器上的其他实例隔离开来，并提供额外的安全性和隐私性，否则将无法使用。

是的，与本地地址（例如 localhost、127.0.0.1）和机器自身 IP 的连接尝试将失败，除非同一沙箱中的另一个进程在目标端口上创建了侦听套接字。被拒绝的连接尝试，例如以下尝试从 .NET 连接到 127.0.0.1:80 的示例将导致以下异常：异常详细信息：System.Net.Sockets.SocketException：尝试以访问权限 127.0.0.1:80 禁止的方式访问套接字应用程序无法连接到私有 IP 地址。实例可以移动，你可以查看这个讨论内部 IP 地址的讨论线程：https://social.msdn.microsoft.com/Forums/sqlserver/en-US/182f3673-18fc-4ade-90bf-22111f566f85/need-internal-ip-address-of-nodes-withing-a-web-app?forum=windowsazurewebsitespreview

【讨论】：

感谢 Ajay，这很好地解释了 ~ 是什么以及为什么只有一个请求具有关联 cookie。我熟悉消费计划中的功能沙箱，但忘记了它通常适用于应用服务计划，即使在非共享层上也是如此。谢谢您的网络解释，但我希望了解来自 10.0.128.25 的传入流量，而不是我自己创建的流量。
是的，它来自本地主机。