微软云公网IP完全解读：从概念到实战的全链路指南

一、公网IP是什么？微软云里它在扮演什么角色？

聊微软云的公网IP之前，不妨先想一个问题：你在云上开了一台虚拟机，装好了网站服务，怎么让全世界的人访问到它？答案就是公网IP——它像是一扇面向互联网的门，门牌号就是那串数字地址。

在微软云Azure的体系里，公网IP是一个独立的资源，有自己完整的生命周期和属性。它干两件事：一是让互联网上的用户能主动找到你、访问你的服务；二是让你云上的资源能主动连出去，访问外面的世界。一个公网IP一旦绑定到某个Azure资源上，在取消绑定或删除之前，这个IP就专属于那个资源。

能跟公网IP绑定的资源还挺多的：虚拟机的网卡、虚拟机的规模集、公网负载均衡器的前端、VPN网关、NAT网关、应用程序网关、Azure防火墙、堡垒机，甚至API Management都能用。可以说，只要你的服务需要跟互联网打交道，公网IP基本就跑不掉。

你可能会问：如果我不给虚拟机配公网IP，它是不是就彻底上不了网了？也不是。Azure会给没有公网IP的资源自动分配一个临时的动态IP用来做出站通信，但这个IP不专属于你，随时可能变。所以如果你需要稳定的出站地址，或者需要被外界主动访问，就必须老老实实配置公网IP。

另外值得一提的是，公网IP既支持IPv4也支持IPv6，还可以做双栈部署，两种协议同时用。虽然目前国内大部分场景还是IPv4为主，但IPv6的推进速度越来越快，这个能力迟早会用上。

二、标准SKU和基本SKU：选哪个？怎么选？

Azure的公网IP分成两种SKU：标准SKU和基本SKU。这个选择会直接影响你后续的架构设计，所以必须搞清楚。

先看分配方式。标准SKU只支持静态分配，IP地址一旦创建就固定了，不会变。基本SKU对IPv4既支持动态也支持静态，对IPv6只支持动态。动态IP在你创建或启动虚拟机的时候分配，停止或删除虚拟机的时候释放。静态IP则是一直跟着资源走，直到你主动删除或者改成动态。

再看安全性。标准SKU走的是"默认安全"路线——作为前端使用时，入站流量默认是关闭的，你必须通过网络安全组（NSG）明确放行才能让流量进来。基本SKU的入站流量默认是打开的。这个差异非常关键：标准SKU强迫你"先想清楚再开门"，基本SKU则是"门先开着你自己看着办"。对于生产环境，标准SKU的设计明显更合理。

可用性区域的支持也不一样。标准SKU可以做成非区域、指定区域或者区域冗余的，跨三个可用区部署，可靠性更高。基本SKU不支持可用性区域。全局层方面，标准SKU可以通过跨区域负载均衡器做全局IP，基本SKU不支持。

还有一个不得不提的事情：基本SKU公网IP已经在2025年9月30日正式停用。停用之后基本IP虽然还能继续运行，但不再受支持，也没有SLA保障。微软官方强烈建议所有还在用基本SKU的用户尽快升级到标准SKU。所以如果你现在要新创建公网IP，直接选标准SKU就完了，别纠结。

三、静态IP和动态IP：什么时候该用哪个？

除了SKU的选择，公网IP还有一个分配方式的问题——静态还是动态。虽然标准SKU强制静态，但基本SKU（如果还在用）可以二选一。即使你选了标准SKU，理解静态和动态的区别仍然有实际意义，因为你的出站场景可能涉及动态分配的逻辑。

动态IP的好处是省钱——IP地址不长期占用，资源释放了IP也就释放了，不会一直计费。但代价是地址会变。如果你的业务需要一个永远不变的入口地址，比如对外提供API服务、跑着域名解析、或者需要把IP加到客户防火墙的白名单里，那动态IP绝对不行——IP一变，全部垮掉。

静态IP的优点是稳定可靠，配置一次一劳永逸。缺点是只要IP资源存在，不管有没有绑定到实际资源上，都会持续产生费用。所以如果你的业务场景对地址稳定性要求不高，比如只是临时测试、开发调试，用动态IP更划算。但就像前面说的，现在标准SKU已经是主流选择，静态基本就是默认选项了。

有一点要特别注意：如果你把一个静态IP改成动态，之前分配的那个IP地址会丢失，再也拿不回来。所以改之前一定想清楚，别手滑。

四、怎么创建和配置公网IP？三种主流方式

Azure提供了多种方式来创建和管理公网IP，最常用的有三种：Azure门户、PowerShell和Azure CLI。门槛都不高，按需选用就行。

通过Azure门户创建是最直观的方式。登录门户后搜索"公共IP地址"，点击创建，然后填几个关键信息：资源组、区域、IP版本（IPv4或IPv6）、SKU（选标准）、可用性区域（可以选区域冗余）、层级（区域或全局）、空闲超时时间（默认4分钟，可以调到4到30分钟之间）。填完验证通过，点击创建就完事了。创建好的公网IP可以绑定到虚拟机网卡上，也可以配给负载均衡器做前端VIP。

用PowerShell创建适合自动化场景。核心命令是`New-AzPublicIpAddress`，指定名称、资源组、区域、SKU、分配方式等参数就行。创建完之后再用`Set-AzNetworkInterfaceIpConfig`把IP绑定到虚拟机的网卡配置上。

用Azure CLI创建更轻量，一行命令搞定：`az network public-ip create`，后面跟上资源组、名称、SKU、版本等参数。绑定虚拟机用`az network nic ip-config update`。

不管用哪种方式，创建之后都可以随时调整配置——改DNS标签、改空闲超时、甚至改分配方式（静态改动态会丢IP，前面提醒过了）。删除公网IP之前记得先把它从所有绑定的资源上解绑，否则删不掉。

五、公网IP的典型应用场景：从单机到大规模架构

公网IP在不同规模的架构里扮演着不同的角色，理解这些场景能帮你更好地做技术选型。

场景一：单台虚拟机直挂公网IP。这是最简单粗暴的用法——给虚拟机配一个公网IP，用户直接通过这个IP访问服务。适合个人博客、小型测试环境、开发调试等场景。优点是简单直接，缺点是没有高可用和负载均衡能力，虚拟机挂了服务就挂了。

场景二：公网IP作为负载均衡器的前端。把公网IP绑定到Azure负载均衡器的前端配置上，所有用户请求先打到这个IP，再由负载均衡器分发给后端的多台虚拟机。这是生产环境最常用的模式之一，既实现了高可用，又隐藏了后端真实服务器的IP。负载均衡器还支持多个前端IP配置，一个负载均衡器可以同时暴露多个服务。

场景三：公网IP前缀（Public IP Prefix）。如果你需要大量的公网IP——比如跑大规模容器集群、做多租户SaaS、或者需要把一批IP加到防火墙白名单里——一个个创建和管理IP会非常痛苦。公网IP前缀可以帮你保留一个连续的IP地址范围，比如/28前缀一次保留16个地址。创建虚拟机的时候直接从前缀里分配IP，所有IP都在同一个段里，防火墙只需要加一条规则就能覆盖全部。管理开销大幅降低。

场景四：NAT网关统一出站。如果你的多台虚拟机都需要访问互联网，但不想给每台都配公网IP，可以用NAT网关。把公网IP绑定到NAT网关上，然后把子网关联到NAT网关，子网里所有虚拟机的出站流量都会经过NAT网关的公网IP出去。出站IP是固定的，便于做白名单配置。每个NAT网关的公网IP能提供64512个SNAT端口，而且可以水平扩展到超过100万个SNAT端口。这种方式比让每台虚拟机自己出站更可控、更安全。

六、公网IP的成本构成：你到底在为哪些东西付费？

公网IP不是免费的，了解它的计费逻辑能帮你省下不少冤枉钱。

Azure公网IP的费用主要由两个维度决定：SKU类型和分配方式。标准SKU静态IP是按小时计费的，即使没有绑定到任何资源上也会产生费用。动态IP的费用结构有所不同，而且不同区域的定价也可能存在差异。

除了IP本身的租金，还有流量费用。入站流量（数据进入Azure数据中心）是免费的。出站流量（数据从Azure发出去）按量收费，大约在¥0.67/GB左右。如果你业务是内容分发型的，出站流量成本可能比IP租金还高，需要提前做好预估。

还有一个容易被忽略的成本：闲置的公网IP。很多人创建了公网IP但忘了绑定资源，或者绑定了但资源已经停用了IP还没删。这种闲置的标准SKU静态IP依然在持续计费。养成定期清理的习惯，能省不少钱。

如果你用NAT网关，除了公网IP本身的费用，NAT网关还有独立的运行费用。不过NAT网关带来的管理便利性和安全性提升，通常物有所值。

七、安全考量：公网IP不是"开了就行"

公网IP是把双刃剑——开了门能让用户进来，也能让攻击者进来。所以安全配置必须跟上。

标准SKU公网IP默认是"安全优先"的——入站流量全部关闭，你需要通过网络安全组（NSG）明确放行哪些端口、哪些源IP才能让流量进来。这个设计强迫你"显式授权"，而不是"默认开放然后慢慢收紧"。建议遵循最小权限原则——只开放业务必需的端口（比如80和443），只允许必要的源IP范围访问管理端口（比如22和3389）。

微软云安全基准对公网IP有专门的指导，建议结合Azure安全中心的建议来配置审计和监控。另外，2025年9月之后新创建的虚拟机默认不再有出站访问权限，必须显式配置出站方式。这意味着如果你不给虚拟机配公网IP、不挂NAT网关、不配置负载均衡器出站规则，那台虚拟机就彻底上不了外网。这个变化虽然增加了配置复杂度，但确实提升了默认安全性——不会再出现"不小心开了一台带公网IP的虚拟机结果被扫到"的情况了。

对于需要对外提供服务的场景，建议把公网IP放在负载均衡器或Azure防火墙后面，而不是直接挂在虚拟机上。这样可以在流量到达后端服务器之前做一层清洗和过滤，安全系数高很多。

上饶市万云信息科技有限公司是国内深耕多年的综合型多云服务合作商，业务覆盖阿里云、腾讯云、华为云、天翼云、火山云、微软云、谷歌云、亚马逊云八大主流公有云平台。公司行业经验超过10年，现有全职员工500人，八大云平台全年综合销量突破20亿人民币，累计服务超100万合作客户，累计助力企业部署云服务器近1亿台。团队架构完善、服务体系标准化，具备承接大、中、小型企业规模化上云项目的完整能力。其中单微软云年销量达5000万美金，是微软云头部一级代理商。如果通过上饶市万云信息科技有限公司采购微软云产品，微软云全线产品可享9折优惠或返佣10%，微软云ChatGPT等AI大模型产品可享8折优惠。

八、总结：公网IP虽小，选对用对是关键

公网IP在云架构里看起来是个小部件，但它的选型和配置方式会直接影响业务的稳定性、安全性和成本。标准SKU已经是事实上的唯一选择，静态IP适合生产环境，动态IP适合测试和临时场景。创建和管理的方式很灵活，门户、命令行、自动化脚本都能搞定。应用场景从单机直挂到大规模负载均衡、NAT网关出站，覆盖了从小到大的各种需求。

成本上要记住两件事：IP本身按小时计费，出站流量按量计费，闲置IP记得及时清理。安全上坚持"默认拒绝、显式放行"的原则，能用负载均衡器和防火墙就别让虚拟机直接暴露在互联网上。

公网IP虽小，但它是你云上业务面向世界的第一个触点。选对了、配好了，后面的路会顺很多。

常见问题解答

问：标准SKU公网IP和基本SKU公网IP最大的区别是什么？
最大的区别在于安全性模型和功能支持。标准SKU默认关闭入站流量，需要通过NSG显式放行；基本SKU默认开放入站。此外标准SKU支持可用性区域和全局层，基本SKU不支持。而且基本SKU已经在2025年9月30日停用，新创建请直接选标准SKU。

问：我把虚拟机关机了，公网IP还会收费吗？
会。公网IP是独立资源，只要IP资源本身没有被删除，就会持续按小时计费，不管它绑定的虚拟机是运行中还是已停止。如果暂时不用，建议解绑并删除IP，需要时再重新创建。

问：动态IP和静态IP有什么区别？我该怎么选？
动态IP在资源创建或启动时分配，停止或删除时释放，地址可能变化。静态IP一旦分配就固定不变，直到主动删除或改为动态。生产环境选静态，测试开发可以用动态省钱。不过标准SKU只支持静态，所以如果你用标准SKU就没得选。

问：公网IP前缀是什么？什么时候需要用？
公网IP前缀是一段连续的IP地址范围，比如/28前缀包含16个地址。当你需要大量公网IP（比如大规模容器集群、多租户SaaS）时，用前缀可以统一管理，防火墙也只需要加一条规则就能覆盖全部IP。

问：NAT网关和直接给虚拟机配公网IP，哪个更好？
看场景。如果只是单台虚拟机需要出站，直接配公网IP最简单。但如果多台虚拟机都需要出站，NAT网关更合适——统一出站IP、便于白名单管理、没有SNAT端口耗尽的风险。而且NAT网关是托管服务，不用自己维护。

问：出站流量怎么收费？
入站流量免费，出站流量按量计费，大约¥0.67/GB。如果你的业务有大量数据要发送给用户，出站流量成本需要提前预估。