IIS工作进程卡在“Starting”状态的原因排查方法

关于443端口的关联判断 #

这种现象大概率和443端口的抢占或SSL证书配置异常直接相关：

• 443是系统默认HTTPS端口，IIS重置后，可能有其他进程（比如杀毒软件、VPN服务、远程桌面网关、甚至其他HTTP.sys绑定的应用）抢先占用了该端口，导致IIS工作进程无法完成端口绑定，进而卡在Starting状态。
• 修改端口到4434时，该端口未被占用，进程能正常完成初始化；改回443的操作相当于触发HTTP.sys重新释放并绑定端口，让IIS进程拿到端口权限，因此能立即进入Running状态。

追踪应用池启动过程的具体方法 #

1. 启用IIS失败请求跟踪与详细日志 #

• 打开IIS管理器，定位到目标网站，启用失败请求跟踪规则，设置跟踪条件为“所有状态码”或“耗时超过30秒的请求”，捕获进程启动阶段的详细错误链路。
• 进入应用池的高级设置，将“日志记录”下的“日志级别”设为详细，日志默认存储在%SystemDrive%\inetpub\logs\LogFiles\W3SVCx路径下，重启IIS后查看是否有启动阶段的异常细节。

2. 排查HTTP.sys端口绑定与权限 #

• 以管理员身份打开命令提示符，执行netsh http show servicestate，查看443端口的实时绑定情况，确认是否有其他进程在IIS重置后抢先占用该端口。
• 执行netsh http show urlacl，检查443端口的URL预留权限，确保应用池对应的账户（如ApplicationPoolIdentity）拥有绑定该端口的权限。

3. 启用WAS详细日志 #

• 打开事件查看器，导航至应用程序和服务日志 > Microsoft > Windows > WAS，右键点击WAS日志选择“启用日志”，重置IIS后查看WAS与工作进程通信的详细错误信息，这会比笼统的“致命通信错误”提供更具体的故障点。

4. 使用Process Monitor追踪进程启动行为 #

• 运行Process Monitor（ProcMon），设置过滤条件：进程名称为w3wp.exe，操作包含Create Process、Load Image、RegOpenKey、Bind等关键动作，重置IIS后捕获进程启动的全流程操作，排查是否存在文件访问失败、注册表读取错误、端口绑定失败等异常。

5. 检查应用池核心配置 #

• 查看应用池高级设置：确认“启动模式”，若为AlwaysRunning可临时改为OnDemand测试，排查自动启动逻辑是否存在异常。
• 验证应用池标识权限：若使用自定义账户，确保该账户拥有网站目录的读取权限，以及HTTPS绑定证书的私钥读取权限（在证书管理器中右键目标证书，通过“管理私钥”添加应用池账户的读取权限）。

临时验证方案 #

执行以下命令强制释放HTTP.sys端口绑定后重启IIS，验证是否解决问题：

net stop http
net start w3svc

内容的提问来源于stack exchange，提问作者Powerslave