同一机器用公网URL访问.NET7 Kestrel HTTP API认证失败问题

核心原因拆解 #

1. 公网URL本地访问返回401：NTLM环回检查拦截 #

Windows系统默认启用NTLM环回检查，目的是防范反射式攻击。当本地进程通过非本机信任的主机名（比如你的公网域名blah.myservice.com）访问本机服务时，Windows会判定这是高风险的环回请求，直接阻止NTLM身份验证流程，导致服务端返回401未授权。

2. localhost访问SSL报错：证书域名不匹配 #

你的SSL证书绑定的是公网域名blah.myservice.com，而localhost不在证书的**主题备用名称（SAN）**列表中，所以浏览器和HttpClient会触发证书域名不匹配的验证错误，这属于正常的SSL校验逻辑。

针对性解决方案 #

方案1：添加公网域名到NTLM环回信任列表（解决401） #

通过修改注册表，将公网域名加入信任的环回主机名列表：

• 打开注册表编辑器（运行regedit）
• 导航到路径：HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa\MSV1_0
• 新建多字符串值，命名为BackConnectionHostNames
• 双击该值，输入你的公网域名blah.myservice.com（多个域名可分行填写）
• 重启虚拟机或重启你的.NET服务，生效配置

完成后，本地用公网URL访问时，NTLM身份验证会被正常放行，不再返回401。

方案2：给SSL证书添加localhost/本地IP作为SAN（解决SSL验证失败） #

如果需要localhost或本地IP访问也能通过SSL校验，需更新你的SSL证书：

• 在证书的**主题备用名称（SAN）**字段中添加localhost和虚拟机的本地IP地址
• 重新安装更新后的证书到Azure VM的证书存储
• 调整Kestrel配置，确保使用更新后的证书

方案3：本地服务间调用的最优方案（推荐） #

同一主机内的服务调用没必要走公网链路，推荐以下两种方式规避问题：

方式A：配置Kestrel多端点

让Kestrel同时监听公网域名（绑定正式SSL证书）和本地回环地址（绑定包含localhost/本地IP的证书），外部请求走公网端点，内部调用走本地端点。示例配置（appsettings.json）：

"Kestrel": {
  "Endpoints": {
    "HttpsPublic": {
      "Url": "https://blah.myservice.com:21000",
      "Certificate": {
        "Path": "D:/Certs/public-cert.pfx",
        "Password": "your-cert-password"
      }
    },
    "HttpsLocal": {
      "Url": "https://localhost:21001",
      "Certificate": {
        "Path": "D:/Certs/local-cert.pfx",
        "Password": "your-local-cert-password"
      }
    }
  }
}

方式B：启用HTTP本地端点（仅限内部调用）

如果同一主机内的服务调用不需要加密，可配置Kestrel监听一个仅本地可访问的HTTP端点，无需SSL证书，且Windows身份验证可正常工作。

方案4：临时禁用NTLM环回检查（不推荐生产环境） #

仅用于测试场景，生产环境禁用会降低系统安全性：

• 注册表导航到HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa
• 新建DWORD值，命名为DisableLoopbackCheck，赋值为1
• 重启虚拟机生效

代码适配示例 #

解决上述配置问题后，调整你的控制台代码以确保身份验证和SSL校验正常：

var credentials = new NetworkCredential("username", "password");
var httpClientHandler = new SocketsHttpHandler 
{ 
    Credentials = credentials,
    UseDefaultCredentials = false, // 明确使用指定凭据
    AllowAutoRedirect = true
};
using HttpClient httpClient = new HttpClient(httpClientHandler, true);

// 公网URL访问（已加入环回例外）
try
{
   string result = await httpClient.GetStringAsync("https://blah.myservice.com:21000/api/foo");
   Console.WriteLine(result);
}
catch (Exception ex)
{
   Console.WriteLine(ex.Message);
}

// localhost访问（证书已包含localhost SAN）
try
{
   string result = await httpClient.GetStringAsync("https://localhost:21001/api/foo");
   Console.WriteLine(result);
}
catch (Exception ex)
{
   Console.WriteLine(ex.Message);
}

内容的提问来源于stack exchange，提问作者Paul