将运行IIS多站点的VM迁移至DMZ后网站无法访问，请求排查解决

一、域名解析与网络连通性验证 #

• 在客户端执行 nslookup 目标域名，确认解析结果为VM的新静态IP。若解析错误，需调整对应DNS记录（内部DNS或公网DNS）指向新IP。
• 用ping 新静态IP测试网络连通性，若不通：检查Windows防火墙是否开启HTTP(80)/HTTPS(443)入站规则；确认DMZ网络的安全组/硬件防火墙已放行80、443端口。
• 用Test-NetConnection 目标域名 -Port 80（或443）验证端口连通性，确认请求能到达服务器。

二、IIS域名站点核心绑定配置核查 #

IIS基于域名区分站点的核心是绑定的主机名，需逐一检查：

• 打开IIS管理器，进入每个站点的「绑定」设置：
  • 绑定类型选HTTP/HTTPS，IP地址选择新分配的静态IP（若之前用「全部未分配」，需确保新IP已纳入服务器可用IP范围）。
  • 「主机名」必须填写对应站点的域名（如site1.example.com），这是IIS匹配请求Host头的关键。
  • HTTPS站点需确认SSL证书有效（退出域后原域证书可能失效，需替换为自签证书或公网可信证书）。
• 执行命令 iisreset 重启IIS服务，使绑定配置生效。

三、文件权限与应用程序池配置 #

• 检查c:\inetpub\websites下各站点目录权限：
  • 给对应应用池身份（如IIS AppPool\站点名称）添加读取和执行权限；若之前用域账户作为应用池身份，退出域后需改为内置账户（ApplicationPoolIdentity、NetworkService），并重新配置目录权限。
  • 确认文件/子目录继承了父目录权限，或手动添加应用池身份的权限。
• 检查站点身份验证：若原配置为Windows域身份验证，需改为匿名身份验证（设置匿名用户使用应用池身份），或调整为DMZ环境支持的验证方式。

四、退出域后的依赖问题排查 #

• 检查站点配置文件C:\Windows\System32\inetsrv\config\applicationHost.config：
  • 确认<bindings>节点的hostHeader（主机名）和ipAddress配置正确。
  • 检查<applicationPool>节点的identity配置，确保使用的账户当前有效。
• 若站点依赖域内服务（如域数据库、域共享），需重新配置连接字符串，指向DMZ内可访问的服务地址（如本地数据库、DMZ内独立服务）。

五、日志与错误定位 #

• 查看IIS日志（默认路径C:\inetpub\logs\LogFiles），根据请求状态码判断问题：
  • 404：文件路径配置错误，或权限不足导致无法读取文件；
  • 503：应用程序池未启动，检查池身份是否正确、是否有异常导致池崩溃；
  • 403：权限拒绝，核查目录权限或身份验证设置；
  • 500：内部服务器错误，开启站点的「详细错误提示」查看具体异常信息，或检查应用程序的日志文件。

内容的提问来源于stack exchange，提问作者TheCodeGeek