负载均衡WCF同服务器跨服务调用触发401.2错误，如何配置BackConnectionHostNames？

结论 #

可以通过配置BackConnectionHostNames注册表项解决该401.2错误，该问题本质是Windows环回检查机制拦截了本地服务通过负载均衡域名的身份验证请求。

每台后端服务器（server1/server2）的配置步骤 #

• 运行regedit打开注册表编辑器
• 导航至注册表路径：HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa\MSV1_0
• 右键点击MSV1_0项，选择「新建」→「多字符串值」，命名为BackConnectionHostNames
• 双击新建的BackConnectionHostNames，在弹出的编辑框中输入负载均衡节点域名Balancer.domain.com（若有其他需允许环回访问的域名，每行输入一个）
• 保存设置后，重启服务器的IIS服务（生产环境建议在业务低峰期执行，或直接重启服务器以确保配置生效）

关键注意事项 #

• 所有后端服务器（server1、server2）都需要单独执行上述配置，因为环回检查是单台服务器的本地安全机制
• 配置完成后无需修改WCF服务的配置文件，通过负载均衡域名的跨服务调用（即使请求被路由到同一服务器）即可正常通过身份验证
• 生产环境操作前，请务必在测试环境验证配置效果，避免影响现有业务；操作时选择低峰时段，减少服务中断风险
• 401.2错误的触发逻辑：当本地服务使用外部域名（如Balancer.domain.com）访问本地资源时，Windows的环回检查会阻止NTLM/Kerberos身份验证，返回权限拒绝错误，BackConnectionHostNames用于指定可跳过该检查的域名列表

内容的提问来源于stack exchange，提问作者Vladimír Hála