Azure Cosmos DB 防火墙：允许代理的公网出口 IP
让 Cosmos DB 的 IP 防火墙与实际使用的前向代理公网出口地址保持一致。
让 Cosmos DB 客户端经由前向代理转发后，数据库账户看到的网络来源会随之改变。因此，只允许工作站直接公网地址的 IP 防火墙，可能会拒绝这条经代理发出的请求。
对于采用公共访问并选定网络的账户，请允许代理路径的公网出口 IP或已批准的地址范围。这可能是代理之外的 NAT 地址，而不是 Python 客户端用来连接其监听端的主机名或私有地址。
使用代理服务商分配的出口信息。轮换出口池需要一条合适的固定线路，或一组已批准的出口地址；如果后续连接改用其他地址，仅允许一个观测到的地址并不可靠。
Cosmos DB 文档说明，来自 IP 允许列表之外的请求会返回 403。防火墙更新最长可能需要 15 分钟才能生效。请保留数据库账户原有的授权凭据，因为网络来源被允许后仍然需要有效的授权。