使用DNS VIP地址调用POST接口返回401，服务器名调用正常

问题背景 #

服务端Controller A部署在独立IIS站点，调用同域下另一独立IIS站点的Controller B API时，使用服务器真实域名可正常调用，但使用VIP域名时返回401未授权，IIS日志显示用户身份信息未传递。

环境配置 #

站点A安全配置 #

<security>
      <authentication>
        <windowsAuthentication enabled="true">
          <providers>
            <clear />
            <add value="NTLM" />
            <add value="Negotiate" />
          </providers>
        </windowsAuthentication>
        <anonymousAuthentication enabled="false" />
      </authentication>
    </security>

站点B安全配置 #

<security>
                     <authentication>
                           <anonymousAuthentication enabled="false" />
                           <windowsAuthentication enabled="true"/>
                           <basicAuthentication enabled="true"/>
                     </authentication>
</security>

请求代码 #

HttpClientHandler httpClientHandler = new HttpClientHandler()
{
   Credentials = new CredentialCache() {
        {
            httpRequest.RequestUri,
            "NTLM",
            CredentialCache.DefaultNetworkCredentials
        } }
};        

var response = await new HttpClient(httpClientHandler).PostAsync(url, data);

故障现象 #

• 使用真实服务器域名：https://serverName.domain:4444/home/apiName，调用正常
• 使用VIP域名：https://VipName.domain:4444/home/apiName，返回401未授权，IIS日志无用户身份记录

排查与解决方法 #

1. 补全VIP域名的SPN注册（核心修复） #

NTLM认证依赖AD中服务主体名称（SPN）的主机名映射，VIP域名未注册对应SPN会导致凭证无法正确关联。

• 执行setspn -L serverName查看服务器已注册的SPN，确认是否包含HTTP/VipName.domain和HTTP/VipName
• 若缺失，使用域管理员权限执行以下命令注册：

  setspn -A HTTP/VipName.domain serverName
  setspn -A HTTP/VipName serverName
  

2. 调整HttpClient凭证绑定逻辑 #

当前代码仅为请求Uri绑定凭证，换用VIP域名时可能存在匹配失效问题，修改为针对特定域名绑定：

var credentialCache = new CredentialCache();
// 为VIP域名添加NTLM凭证
credentialCache.Add(new Uri("https://VipName.domain:4444"), "NTLM", CredentialCache.DefaultNetworkCredentials);
// 保留原服务器域名的凭证（可选）
credentialCache.Add(new Uri("https://serverName.domain:4444"), "NTLM", CredentialCache.DefaultNetworkCredentials);

HttpClientHandler httpClientHandler = new HttpClientHandler()
{
    Credentials = credentialCache,
    AllowAutoRedirect = true,
    UseDefaultCredentials = false
};

// 用using包裹HttpClient避免资源泄漏
using (var httpClient = new HttpClient(httpClientHandler))
{
    var response = await httpClient.PostAsync(url, data);
}

3. 调整IIS身份验证优先级 #

站点B同时启用Windows和Basic认证，需确保Windows认证优先被协商：

• 打开IIS管理器，进入站点B的身份验证设置
• 将Windows身份验证上移至列表最顶部

4. 验证本地Intranet区域配置 #

确认VIP域名已加入浏览器的本地Intranet区域，确保自动登录规则生效：

• 打开浏览器「互联网选项」→「安全」→「本地Intranet」→「站点」→「高级」
• 添加https://VipName.domain到区域列表

5. 负载均衡配置检查（若VIP对应LB） #

如果VIP是负载均衡器地址，需确认：

• LB已启用客户端IP传递，禁用SSL卸载（确保HTTPS会话端到端）
• LB配置了NTLM passthrough或Kerberos约束委托（KCD），保留认证会话上下文

内容的提问来源于stack exchange，提问作者SRV