服务对象与地域限制
PuppyIP 仅面向海外合规企业及其授权人员提供服务，不面向中国大陆地区开放或提供代理服务。本服务仅限用于中国大陆境外的合法业务活动，严禁在中国大陆境内使用本服务。
代理 IP 或服务器位于境外，不改变上述限制。不得通过中转、转接、共享或转售向中国大陆境内的最终使用者提供本服务。使用前请阅读用户服务协议。
本文要点
- 微软 10 月 7 日公告要求经典层 VNet internal/external 用户在 2026 年 11 月 30 日前检查 NSG、UDR 和防火墙；没有给出具体时区或切换时刻。
- 新增控制面 IP 已纳入 ApiManagement 服务标记。支持标记的位置应替换硬编码管理 IP；不支持标记的防火墙应持续同步官方公布的地址列表。
- VNet 配置参考将管理端点列为从 ApiManagement 到 VirtualNetwork 的入站 TCP 3443，适用于内部和外部模式。它与外部模式的客户端 HTTPS 443 规则不同。
- 公告明确此次调整只影响管理面，运行时 API 调用不受这项变更影响；不能把公告扩大为全部 Azure 服务或全部 v2 层的统一改网要求。
先确认经典层、VNet 模式和截止日期
微软于 2026 年 10 月 7 日发布公告，说明 Azure API Management 为提升韧性和扩展能力，正在增加控制面 IP 地址。这些地址包含在 ApiManagement 服务标记中。公告正文面向使用经典层（v1）VNet internal 或 VNet external 的实例，要求在 2026 年 11 月 30 日前调整相关网络规则。
配套 VNet 配置参考明确适用于经典 Developer 和 Premium 层的 VNet 注入，并把 Premium v2 的注入方式另列说明。盘点时先记录实例层级和内部或外部模式，再判断本文的管理端点规则是否适用；不要直接向所有 v2 实例套用。公告只给出截止日期，没有具体小时、时区或各区域 IP 上线时刻。
管理访问与运行时 API 调用要分开判断
公告指出，如果网络规则在截止日期后阻断管理端点，团队可能无法通过 Azure 门户或 CLI 管理 API Management 的 API、操作和策略配置。检查对象因此是控制面连接及其规则路径，不只是业务请求能否返回成功。
微软同时明确，这项变更只影响管理面，运行时流量——包括调用服务的 API 请求——不受影响。这个范围说明不等于对任意实例的运行时健康作保证；若业务 API 本身报错，仍应根据实际响应和网络证据单独排查，不能仅凭这份公告归因。
逐项找出固定管理 IP 的规则位置
先按实例列出相关网络安全组（NSG）、用户定义路由（UDR）和防火墙，标记哪些条目使用了硬编码的 API Management IP。记录规则用途、作用范围和负责人，避免只修改一处 NSG，却遗漏另一段路径上的固定地址限制。
公告要求在支持服务标记的位置，用 ApiManagement 标记替换硬编码地址。这里的前提是该规则位置确实支持标记；不能把同一种配置形式强行套用到所有路由或第三方防火墙。过渡期间标记同时包含现有地址和新增地址，也不能据此推断某一条旧地址已经可以删除。
核对 3443 的方向与来源，避免混成客户端 443
官方 VNet 参考把管理端点规则列为：入站、来源 ApiManagement、目标 VirtualNetwork、TCP 3443，适用于内部和外部 VNet 模式。核对时应同时检查流量方向、来源标记、目标网络和端口，不能只搜索一个端口号就认定规则正确。
同一表格另有外部模式的客户端通信规则，涉及从 Internet 到 VirtualNetwork 的 HTTPS 443；它不是管理面 3443 规则。为处理本次变更而把管理端口向整个 Internet 放开，并不是公告给出的要求。其他已有网络依赖也应保留各自用途，不要把本次管理面检查简化成只剩一条放行规则。
防火墙不支持服务标记时，安排地址同步
公告指向微软的 Azure 服务标记说明和 Azure IP Ranges and Service Tags JSON 下载，作为查找 ApiManagement 地址的官方入口。如果防火墙不支持服务标记，微软要求使用公布的地址列表，并让 IP 规则与其最新版本保持同步，而不是长期使用某次下载的固定快照。
在变更计划中记录地址列表来源、更新负责人和变更核对方式，并按组织已有流程保留原配置及回退安排。公告没有给出所有新增 IP 的精确启用进度，应把后续地址同步作为持续工作安排。
假设示例：API 正常，也不能跳过管理面检查
假设一台经典 Premium 实例采用内部 VNet 模式，业务 API 仍能被调用，但防火墙只允许之前手工保存的一组管理 IP。业务调用正常并不能证明新增控制面地址也已获准通过。这是说明两类流量区别的假设场景，不是已发生的客户故障。
处理清单应回到这台实例的实际路径：核对 ApiManagement 来源与 TCP 3443 的管理规则，找出硬编码地址的位置，确认能否使用标记；不支持时安排持续同步。为后续变更和验收指定负责人，并在 11 月 30 日前完成适用规则的调整，而不是等待管理操作失败后再判断是否受影响。
资料来源
常见问题
这是否要求所有 Premium v2 实例按同一张端口表修改？
不是。公告正文针对经典（v1）层的内部或外部 VNet 模式，配套参考适用于经典 Developer/Premium VNet 注入，并将 Premium v2 另列说明。应按实例实际层级和网络方式查阅适用文档，不能把经典层要求扩大为所有 v2 部署。
已经保存过一份官方 IP 列表，是否就完成了检查？
不一定。公告明确要求不支持服务标记的防火墙与最新公布列表保持同步，不能依赖固定时间点的快照。还应核对列表是否用于正确的管理流量规则，以及后续由谁负责更新；一次下载并不证明后续新增地址会自动进入你的防火墙。
只保留 3443 规则、删除其他出站和 DNS 规则可以吗？
不能根据本次公告这样做。VNet 配置参考还列有 DNS、证书验证、存储等依赖，具体要求取决于部署和功能。3443 是本文核对的管理端点端口，不是整套 VNet 网络依赖清单，也不构成删除其他现有规则的依据。