微信小程序云开发默认给云函数提供了公网访问能力，但很多业务在接入第三方支付、短信或企业API时，会被要求提供固定的来源IP。云函数如果不做任何网络配置，出口IP来自动态地址池，无法稳定加入白名单。解决方法是引入VPC私有网络，并通过NAT网关绑定弹性公网IP，让云函数的公网流量从固定IP出去。
一、云函数默认网络模型与为什么需要固定出口
微信云开发的云函数运行在腾讯云托管的基础设施上。未配置VPC时，函数实例通过云开发平台统一的NAT设备访问公网，源IP是一个不断变化的地址池。这意味着即使你在第三方平台把某个IP加入白名单，下一次函数冷启动或扩容后，请求可能从另一个IP发出，直接触发鉴权失败。对于强安全要求的场景，例如调用银行接口、微信公众号支付回调、企业内部网关，这种动态出口不可接受。
绑定VPC后，云函数会获得一张虚拟网卡，接入你指定的私有网络和子网。此时函数对公网的访问不再走云开发默认出口，而是按照子网的路由表转发。只要在VPC内创建NAT网关并绑定一个弹性公网IP，再将默认路由指向NAT网关，函数的所有公网流量就会统一从该EIP出去。这样既固定了出口，又能让函数访问VPC内部资源。
需要强调的是，VPC绑定不是简单开关，它改变的是网络路径。配置后如果路由表里没有到NAT网关的默认路由，函数可能完全无法访问公网。这是最常见的配置遗漏。另一个要点是VPC必须与云开发环境在同一地域，跨地域无法关联。
二、配置VPC私有网络与NAT网关的步骤
正式配置前先准备以下资源：一个与云开发环境同地域的VPC、至少一个子网、一个弹性公网IP、一个NAT网关。如果已有VPC可以直接复用，但建议为云函数单独划分子网，便于安全组和路由策略管理。
- 创建VPC和子网：进入腾讯云私有网络控制台，新建VPC并创建子网，网段可以规划为10.0.0.0/16，子网10.0.1.0/24。
- 创建NAT网关：在NAT网关页面选择与云函数相同的地域和VPC，类型选择标准型即可，同时申请并绑定一个弹性公网IP。
- 配置路由表：进入子网关联的路由表，新增一条目的为0.0.0.0/0、下一跳为NAT网关的路由。
- 关联云函数：回到微信开发者工具或云开发控制台，进入环境的网络设置，找到云函数网络配置，选择刚才的VPC和子网，保存。
云开发控制台保存网络配置后，平台会为后续新建的云函数实例分配VPC内的IP。已存在的实例可能需要重新部署或等待冷启动重建。配置完成后，建议先在测试环境验证，确认公网和内网访问都符合预期，再发布到生产。
安全组是另一个容易忽略的配置。云开发在绑定VPC时可能使用默认安全组，默认安全组通常允许出站流量，但如果你在VPC内自定义了安全组规则，需要确保出站方向允许访问公网端口，例如443和80，同时内网访问的端口也要放行。
三、Node.js云函数验证出口IP
配置好VPC和NAT网关后，最直接的验证方式是写一个云函数，请求一个能够返回客户端公网IP的接口。把接口返回的IP与NAT网关绑定的弹性公网IP进行比对，如果一致说明固定出口生效。
const https = require('https');
exports.main = async (event, context) => {
const url = 'https://api.ipify.org?format=json';
return new Promise((resolve, reject) => {
https.get(url, (res) => {
let data = '';
res.on('data', (chunk) => {
data += chunk;
});
res.on('end', () => {
try {
resolve(JSON.parse(data));
} catch (e) {
reject(e);
}
});
}).on('error', reject);
});
};
这段代码使用Node.js内置的https模块发起HTTPS请求，避免引入额外依赖。云函数返回的JSON中ip字段就是本次请求的公网出口地址。连续调用十次，再等待一段时间触发冷启动，如果返回的IP始终等于EIP，说明出口已经固定。如果返回的不是EIP，要检查路由表是否真的指向了NAT网关，以及云函数是否已经绑定了正确的VPC。
除了HTTPS接口，也可以用命令行在VPC内的CVM上执行curl ifconfig.me，但云函数环境不方便直接执行系统命令，所以推荐使用上述代码。测试完成后建议把这个函数保留为环境自检工具，当第三方服务突然拒绝请求时，可以先运行它确认出口IP是否发生变化。
四、常见问题与配置避坑
第一个坑是绑定VPC后云函数反而无法访问公网。原因通常是路由表缺少默认路由，或者NAT网关没有绑定弹性公网IP。检查顺序应该是：确认云函数绑定的子网关联了哪张路由表，再看路由表里是否存在0.0.0.0/0指向NAT网关的有效路由。NAT网关本身也要处于运行中状态。
第二个坑是安全组规则太严格。云函数访问公网或内网资源时，源IP会变成子网内的地址，可能不是固定的函数IP。如果目标数据库或服务器配置了IP白名单，需要把云函数所在子网的网段加入白名单，而不是某一个具体地址。
第三个坑是冷启动延迟变大。绑定VPC后，云函数在扩容或长时间未调用后的首次运行需要创建弹性网卡并分配IP，冷启动耗时可能从几十毫秒增加到一到三秒。对延迟敏感的业务可以配置定时触发器进行预热，或者使用预留实例减少冷启动。
最后注意费用问题。NAT网关、弹性公网IP和VPC本身可能产生费用，具体计费方式以腾讯云控制台展示为准。测试阶段如果不需要固定出口，可以先解绑VPC以节省成本，但解绑后公网出口会恢复为动态地址池，生产环境不要随意操作。