windows-authentication - IIS Arr 未在同一服务器上传递 Windows 凭据

Question

我在测试环境中有一个自托管的 o​​win web api 服务，为了给它一个更好的名称，我使用了域别名和 ARR。

我的 web api 在端口 8888 上运行，并使用 Windows 身份验证。我已将我的 arr 配置为在testserver:80匿名身份验证下运行。我想在盒子上部署一个服务，将 webapi 用于数据。当我尝试testserver从桌面上的网络浏览器访问时，它工作正常。但是，当我远程进入该框并尝试点击testserver它时，会提示我输入凭据。即使我输入正确，它仍然会向我发出 401。如果我去localhost:8888该站点将工作。

因为，我更喜欢在我的服务中使用漂亮的服务器名称，我该如何纠正这个问题。如何让它通过 ARR 在同一个盒子上传递凭据？

Answer 1

您可能对 LSA 环回检查有疑问。

您会收到 401，因为 ARR 将您的 Windows 身份验证转发到 localhost，这是不允许的（默认设置）。

尝试禁用 LSA 环回检查（很可能需要重新启动）。如果可行，您可以限制对特定网站禁用环回检查（以防止安全漏洞）。

有关LSA 环回检查以及如何完全禁用或仅针对特定主机名禁用它的详细信息，请参阅浏览使用集成身份验证且托管在 IIS 5.1 或更高版本上的网站时收到错误 401.1 。