TG咨询远程运行移动软件时的网络出口白名单设计，先要回答一个问题：请求究竟从哪里离开网络？操作人员的手机、远程运行平台的执行节点，以及平台访问的代理或网关，可能各自拥有不同的出口。只把办公室公网地址加入白名单，未必能放行真正发起请求的一端。
选方案前，按下面五项风险逐一核实。白名单只负责限制网络来源，不等于身份认证；账号权限和数据访问仍需单独控制。
先核对五项风险
1. 出口地址是否对应实际执行端
确认移动软件运行在本地设备、远程设备平台，还是受控虚拟环境中，并向平台管理员核实实际出口IP及流量路径。不要把管理控制台的访问地址当成应用请求的出口。涉及多个执行区域或故障切换节点时，应分别确认，避免漏加备用出口。
2. 出口IP会不会变化
出口IP可能因节点调度、云网络变更、VPN重连或运营商分配而改变。固定出口IP便于精确放行，但需要维护出口网关；动态出口维护成本较低，却容易出现间歇性阻断。优先采用受控的固定出口或NAT网关，并要求服务方提供变更通知和备用地址。若只能使用地址段，应尽量缩小范围，避免为了省事放行过大的网段。
3. 协议和端口是否匹配
记录目标服务的域名、协议、端口和发起方向。常见网页请求使用HTTPS，但应用也可能依赖其他服务或连接方式，不能据此假定只开放一个端口。白名单通常限制来源地址；目标端口、防火墙规则和应用层权限是不同控制项，应分别核对。
4. DNS与IPv6是否被遗漏
同一域名可能解析到不同地址，环境也可能优先使用IPv6。若规则只覆盖IPv4，或只允许了某次解析结果，连接表现可能时通时断。检查运行环境实际采用的DNS解析、IPv4/IPv6路径和目标地址，并在变更后复测；不需要的协议可按网络策略关闭或明确限制。
5. 权限、期限和变更是否可控
长期白名单若没有责任人、用途和复核日期，容易积累失效规则。为每条规则记录申请方、目标服务、环境、审批人、有效期限和回退办法；离职、项目结束或出口调整时及时撤销。配合账号认证、最小权限及访问日志，避免把网络放行误当作完整安全措施。
三种做法怎么选
- 固定出口IP：适合运行节点相对稳定、对端支持按IP放行的情况。规则易核验，代价是要维护网关，并处理地址变更与故障切换。
- VPN集中出口：适合需要统一管控多处远程运行流量的环境。策略集中，便于收回访问；但要评估连接可用性、容量和路由配置，避免所有流量绕行造成延迟。
- 动态地址段放行：仅在供应方能明确维护地址范围、且对端确实无法使用固定出口时考虑。部署较快，但范围扩大可能增加暴露面，也更依赖及时同步地址变更。
选择时把“地址是否稳定、是否能集中管理、对端能否按来源过滤”三项放在一起比较。不要仅因配置方便就采用覆盖多个用途的宽泛出口段。
按步骤落地并验证
- 画出请求路径：标明运行端、出口网关、目标域名及回程路径，确认白名单应识别哪一跳的出口IP。
- 从实际运行环境发起连接，记录解析结果、协议、端口和出口地址；分别检查正常节点与备用节点。
- 提交最小范围规则，注明用途、环境、负责人和期限；同时确认DNS、IPv6及必要的其他连接是否纳入策略。
- 在规则生效后验证允许请求，并检查未获授权的来源是否仍被拒绝。应用日志、网络日志与连接结果应相互印证。
- 保存变更记录和回退方式，定期复核仍在使用的地址；出口或运行区域调整后重新测试。
归根结底，远程运行移动软件时的网络出口白名单设计，应以真实流量路径为依据，用尽可能小的规则覆盖必要节点，并把地址变更、身份校验和撤销机制一起纳入维护。
常见问题
只加入办公网络的公网IP可以吗？
只有当请求确实从该办公网络发出时才可以。远程执行节点通常需要单独核实其出口。
白名单能替代账号认证吗？
不能。它限制网络来源，不能证明操作者身份，也不能代替账号权限控制。
出口地址变更后先检查什么？
确认新出口IP、备用节点、DNS与IPv6路径，并核对目标端规则和运行日志，再进行连接验证。