YARP健康检查全部返回Unauthorized问题求助

可能原因及对应解决方法 #

1. YARP健康检查请求头与浏览器/Fiddler存在差异

部分后端服务会对请求头（如User-Agent、Accept）做验证，YARP默认的健康检查请求头可能不符合后端要求，导致被拦截返回401。

解决方法：自定义YARP健康检查的请求头，模拟浏览器的标准请求头。示例配置：

services.AddReverseProxy()
    .LoadFromConfig(Configuration.GetSection("ReverseProxy"))
    .ConfigureHealthChecks(options =>
    {
        options.ConfigureCluster(clusterConfig =>
        {
            // 添加浏览器常用请求头
            clusterConfig.HealthCheck.Headers.Add("User-Agent", "Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36");
            clusterConfig.HealthCheck.Headers.Add("Accept", "*/*");
        });
    });

2. HTTPS证书验证失败

若后端使用自签名证书或内部CA颁发的证书，YARP默认的HttpClient会验证证书链，验证失败时部分后端会返回401而非明确的证书错误。

解决方法：配置YARP健康检查的HttpClient跳过证书验证（仅测试环境使用，生产环境建议导入信任CA）：

services.AddReverseProxy()
    .LoadFromConfig(Configuration.GetSection("ReverseProxy"))
    .AddHttpClientForHealthChecks("CustomHealthClient", client =>
    {
        client.Timeout = TimeSpan.FromSeconds(8);
    })
    .ConfigurePrimaryHttpMessageHandler(() => new HttpClientHandler
    {
        ServerCertificateCustomValidationCallback = (_, _, _, _) => true
    });

3. 后端服务IP白名单限制

后端服务可能仅允许浏览器/Fiddler所在IP访问，而YARP服务器的IP不在白名单内，导致返回401。

解决方法：检查后端服务的安全配置，将YARP服务器的公网/内网IP加入允许访问的白名单。

4. 健康检查URL配置不一致

YARP配置的健康检查URL可能存在路径大小写错误、缺少必要参数等问题，与浏览器实际访问的URL不符。

解决方法：核对appsettings.json中集群健康检查的Path或Uri配置，确保与浏览器访问的URL完全一致（包括路径大小写、查询参数）。示例配置片段：

"ReverseProxy": {
  "Clusters": {
    "Cluster1": {
      "HealthCheck": {
        "Active": {
          "Path": "/healthz", // 确保与浏览器访问的路径完全一致
          "Interval": "00:00:10",
          "Timeout": "00:00:05"
        }
      },
      "Destinations": {
        "Dest1": { "Address": "https://backend-server-1:443/" }
      }
    }
  }
}

排查建议 #

优先检查URL和请求头配置，再验证证书问题，最后排查IP白名单限制。可以通过在YARP服务器上抓包（如Wireshark）对比健康检查请求与浏览器请求的差异，快速定位问题。

内容的提问来源于stack exchange，提问作者Underground