如何使IIS网站通过服务器FQDN正常访问？

核心问题定位 #

从日志返回的403 0 0 3状态码来看，这对应未授权访问资源；结合请求会路由到场内其他服务器的情况，优先从服务器场路由规则、目标服务器主机头绑定、身份验证配置这几个方向排查。

具体排查步骤 #

• 检查目标服务器的站点主机头绑定
  场内另外两台服务器的对应站点，是否绑定了该FQDN？如果只绑定了IP或短名称sitename，当请求带着FQDN主机头到达时，IIS无法匹配到对应站点，就会返回403。操作：在目标服务器的IIS管理器中，找到站点→编辑绑定，确认添加了http://你的完整FQDN的主机头绑定（端口要和访问一致）。

• 验证服务器场的路由规则与ARR配置
  确认服务器场的路由规则是否对FQDN请求做了特殊拦截，或者ARR（应用程序请求路由）代理设置异常：

  1. 打开IIS管理器→服务器场→你的场名称→路由规则，检查是否存在针对FQDN的拒绝类规则；
  2. 进入服务器节点→应用程序请求路由→服务器代理设置，确认“启用代理”已勾选，且未限制特定主机头访问；
  3. 查看服务器场的“服务器列表”，确认目标服务器状态为“正常”，权重配置无异常。

• 目标服务器的身份验证与权限细节
  即便你已检查过权限，FQDN请求可能触发不同的身份验证流程：

  1. 检查目标站点的身份验证设置：若启用匿名身份验证，确认匿名用户（通常是IUSR或应用程序池账户）有权限访问站点目录；若用Windows身份验证，确认FQDN已加入本地Intranet区域，避免跨域身份验证失败；
  2. 检查站点目录的NTFS权限：确认IIS_IUSRS、NT AUTHORITY\NETWORK SERVICE（若应用程序池用此账户）拥有读取权限，且无拒绝项；
  3. 查看URL授权规则：站点→URL授权，确认没有针对该FQDN的拒绝规则。

• 排查Kerberos身份验证问题（若使用Windows auth）
  FQDN访问可能涉及Kerberos委派问题，尤其是服务器场环境：

  1. 确认应用程序池账户拥有向目标服务器委派身份的权限；
  2. 检查是否注册了正确的SPN（服务主体名称），比如HTTP/你的FQDN和HTTP/服务器短名都要注册到应用程序池账户下，可通过setspn -L 账户名命令查看已注册的SPN。

• 细化IIS日志排查
  启用IIS日志的cs-host、cs-uri-stem、cs-username字段，确认请求的主机头是否正确，以及访问时使用的用户名（匿名请求会显示IIS匿名用户，Windows auth请求会显示域用户或空），以此区分是身份验证失败还是权限不足。

快速测试方法 #

• 在目标服务器本地用FQDN访问站点，若本地也无法访问，说明问题出在目标服务器的站点配置；若本地能访问，问题则在服务器场的路由或代理配置。
• 临时修改服务器场路由规则，将FQDN请求路由到当前服务器而非另外两台，测试是否能访问，以此判断是路由后的目标服务器问题，还是路由规则本身的问题。

内容的提问来源于stack exchange，提问作者Anup