为什么Windows身份验证/模拟在使用iis 7.5 / windows 7 /的asp.net应用程序上失败

Question

我正在解决为什么我无法通过为Windows身份验证和模拟配置的ASP.Net站点上的登录对话框。

我有一个ASP.Net 2.0应用程序，我正在尝试使用IIS 7.5在Windows 7上部署它。 我创建了一个新站点，并将其绑定到localhost和一个完全限定的域名。 FQDN位于我的hosts文件中，并重定向到127.0.0.1

该站点还运行我创建的AppDomain，具有集成管道模式，并且流程模型标识设置为ApplicationPoolIdentity。

Web.config包括以下内容：

<trust level="High" />
<authentication mode="Windows" />
<authorization>
  <deny users="?"/>
</authorization>
<identity impersonate="true"/>`

站点目录上的ACL设置为Everyone（完全控制 - 用于测试）。 应用程序池虚拟帐户（Windows 7的事物）也设置为对站点的物理目录的完全控制。

IIS身份验证启用了ASP.Net模拟并启用了Windows身份验证。

当我以localhost身份连接到站点时，它允许我通过登录提示并且应用程序加载而不会发生意外。

当我作为在此站点/ ip /端口的主机头绑定中设置的FQDN连接到站点时，我无法通过登录提示。 单击取消会生成http 401.1错误页面。

为什么？

Answer 1

这个问题的答案将是一个安全功能，称为身份验证环回检查，在Windows 2003 SP1中引入，如下所示： http ： //support.microsoft.com/kb/926642

我试图使用我的/ etc / hosts文件中定义的主机头连接到我的iis主机头实例，指向127.0.0.1，同时登录运行iis的机器 - 这是环回场景。

它会在各种情况下咬你，比如这个（ http://blogs.bluethreadinc.com/thellebuyck/archive/2008/10/30/401.1-error-when-accessing-sharepoint-from-server.aspx ）或者这个世界在谷歌受伤（ http://www.google.ca/search?q=authentication+loopback+check&ie=utf-8&oe=utf-8&aq=t&rls=org.mozilla:en-US:official&client=firefox-a ）

FIX涉及一些简单的注册工作： http ： //blogs.bluethreadinc.com/thellebuyck/archive/2008/10/30/401.1-error-when-accessing-sharepoint-from-server.aspx

我也不需要为我的情况启用模拟，所以我禁用了它，现在我可以使用我的伪造fqdn本地和远程连接

Answer 2

Velvet提供的URL已关闭。 我在archive.org上找到了一个缓存版本：

“从服务器访问SharePoint时出现401.1错误

我在过去几次设置SharePoint环境（内部开发使用和客户）时遇到过这个问题，所以我觉得是时候写一篇关于它的博客文章了。 如果您在Windows Server 2003 SP1或更高版本上运行SharePoint Server 2007或WSS 3.0，则在尝试使用服务器本身的主机标头访问SharePoint网站时会遇到身份验证问题（即主机文件具有portal.mydomain.com指向至127.0.0.1）。 此问题表现为Microsoft内置到Windows Server 2003 SP1及更高版本的环回安全检查的结果。 环回检查的目的是消除拒绝服务攻击，但是它会导致从服务器本地访问SharePoint站点的问题。 在典型的生产环境中，这通常不是问题，因为您很少从前端Web服务器本身访问SharePoint站点（除了中央管理员）。 但是我确实有物理和虚拟开发环境，所有活动都是从服务器进行的，所以这可能会导致一些胃灼热，除非您之前已经解决了这个问题。 您可以在KB926642和KB896861上阅读详细的知识库文章。 以下是如何解决问题的简要说明。 我通常禁用环回检查，但不建议用于生产服务器环境。

方法1：禁用身份验证环回检查通过将HKEY_LOCAL_MACHINE\\SYSTEM\\CurrentControlSet\\Control\\Lsa注册表子项中的DisableLoopbackCheck注册表项设置为1，重新启用Windows Server 2003中存在的行为。要将DisableLoopbackCheck注册表项设置为1，在客户端计算机上按照下列步骤操作

1. 单击“开始”，单击“运行”，键入regedit，然后单击“确定”。
2. 找到并单击以下注册表子项： HKEY_LOCAL_MACHINE\\SYSTEM\\CurrentControlSet\\Control\\Lsa
3. 用鼠标右键单击Lsa，指向新建，然后单击DWORD值。
4. 键入DisableLoopbackCheck ，然后按ENTER键。
5. 右键单击“ DisableLoopbackCheck ，然后单击“修改”。
6. 在“数值数据”框中，键入1，然后单击“确定”。
7. 退出注册表编辑器
8. 重新启动计算机。 注意您必须重新启动服务器才能使此更改生效。 默认情况下，在Windows Server 2003 SP1中打开环回检查功能，并将DisableLoopbackCheck注册表项设置为0（零）。 禁用身份验证环回检查时，安全性会降低，并且您在NTLM上打开Windows Server 2003服务器以进行中间人（MITM）攻击。

方法2：创建可在NTLM身份验证请求中引用的本地安全机构主机名为此，请对客户端计算机上的所有节点执行以下步骤：

1. 单击“开始”，单击“运行”，键入regedit，然后单击“确定”。
2. 找到并单击以下注册表子项： HKEY_LOCAL_MACHINE\\SYSTEM\\CurrentControlSet\\Control\\Lsa\\MSV1_0
3. 右键单击“MSV1_0”，指向“新建”，然后单击“多字符串值”。
4. 在“名称”列中，键入BackConnectionHostNames ，然后按Enter。
5. 右键单击“ BackConnectionHostNames ，然后单击“修改”。
6. 在“数值数据”框中，键入用于计算机上本地共享的CNAME或DNS别名，然后单击“确定”。

注意在单独的行上键入每个主机名。

注意如果BackConnectionHostNames注册表项以REG_DWORD类型存在，则必须删除BackConnectionHostNames注册表项。 7.退出注册表编辑器，然后重新启动计算机。
“

来自： http ： //blogs.bluethreadinc.com/thellebuyck/archive/2008/10/30/401.1-error-when-accessing-sharepoint-from-server.aspx于2009年6月5日