IIS网站重置/重启后加载异常，需修改HTTPS绑定恢复

我们为多个客户托管的大型IIS Web应用出现偶发且无法复现的异常：

• IIS重置或服务器重启后，应用池自动启动，但浏览器访问时显示白页、加载耗时极久
• 临时恢复方案：修改Default Web Site的HTTPS绑定端口（例如从443改为8443），确认后改回443，应用即可正常访问
• 异常触发时，Windows事件日志会生成两条核心错误：

  worker process '13952' serving application pool '[ApplicationPoolName]' failed to start a listener channel for protocol 'http' in the allotted time. The data field contains the error number. (B4050780)
  A process serving application pool '[ApplicationPoolName]' suffered a fatal communication error with the Windows Process Activation Service. The process id was '7736'. The data field contains the error number. (6D000780)

• 端口抢占验证
  服务器重启后立即执行netstat -ano | findstr ":443"，检查443端口是否被非IIS进程（如VPN工具、第三方安全软件）占用。这类进程会抢先绑定端口，导致WAS无法完成HTTPS监听初始化。
• WAS服务状态与依赖检查
  确认Windows Process Activation Service(WAS)及其依赖的HTTP Service是否正常运行：
  • 用命令sc query was和sc query http查看服务状态
  • 检查服务的启动类型是否为“自动”，若存在启动失败，查看系统事件日志中WAS相关的报错
• SSL证书绑定校验
  排查443端口的SSL证书绑定是否存在异常：
  1. 执行netsh http show sslcert，核对443端口的证书哈希、应用ID是否与Default Web Site的配置匹配
  2. 验证证书是否未过期、已导入服务器受信任根证书存储，且证书私钥权限设置正确（需授予IIS_IUSRS组读取权限）
• 应用池配置优化排查
  • 检查应用池的启动模式：若设置为AlwaysRunning，重启后WAS会立即启动工作进程，可能因系统资源竞争导致端口绑定超时，可临时改为OnDemand测试
  • 查看应用池的队列长度和进程限制，确认是否存在队列溢出导致的启动失败
  • 验证应用池标识的权限：确保其拥有网站目录读取、证书私钥访问等必要权限
• 系统资源与启动顺序调整
  • 检查服务器重启时是否有高资源消耗服务（如数据库、备份任务）同时启动，导致WAS初始化阶段CPU、内存不足，无法完成端口绑定
  • 将WAS服务的启动类型改为自动（延迟启动），让系统优先完成核心服务初始化后再启动WAS
• 详细日志追踪
  • 启用IIS的失败请求跟踪规则，捕获白页请求的完整处理流程，定位具体阻塞环节
  • 开启WAS详细日志：修改%windir%\system32\inetsrv\config\applicationHost.config，将<system.applicationHost><log>节点的logLevel设置为Verbose，重启WAS后收集日志分析绑定过程中的异常细节

内容的提问来源于stack exchange，提问作者Powerslave