Blazor Server部署到IIS后MQTT Server无法连接的问题排查

核心原因 #

本地IISExpress运行正常但部署到IIS后失败，主要和权限、网络绑定、防火墙限制以及Blazor组件的生命周期设计有关：

1. 进程权限差异：IISExpress以当前登录用户身份运行，默认拥有打开网络端口的权限；而IIS应用池默认使用ApplicationPoolIdentity或Network Service这类受限身份，可能没有监听端口的权限。
2. 网络绑定范围：代码中WithDefaultEndpoint()默认只绑定127.0.0.1（本地回环地址），部署到IIS后，局域网内的Raspberry Pico W无法访问这个仅本地可见的端口。
3. 防火墙拦截：IISExpress启动时会自动向Windows防火墙添加临时规则允许端口访问，但部署到IIS后，端口1111未被加入防火墙允许列表，导致连接被拦截。
4. 组件生命周期问题：在Blazor组件的OnInitialized中启动MQTT Server，会导致每个用户会话或组件实例都尝试启动一个MQTT Server，多次启动会引发端口占用，最终导致连接失败。

排查与解决步骤 #

1. 修正MQTT Server的启动方式（必做） #

不要在Blazor组件内启动MQTT Server，应该将其注册为单例服务，确保全局仅运行一个实例：

• 在Program.cs中添加：

using MQTTnet;
using MQTTnet.Server;
using System.Text;
using System.Net;

var builder = WebApplication.CreateBuilder(args);

// 添加MQTT Server单例服务
builder.Services.AddSingleton<IMqttServer>(sp =>
{
    var options = new MqttServerOptionsBuilder()
        // 绑定所有网络接口，允许局域网设备访问
        .WithDefaultEndpointBoundIPAddress(IPAddress.Any)
        .WithDefaultEndpointPort(1111)
        .Build();
    
    var server = new MqttFactory().CreateMqttServer(options);
    server.InterceptingPublishAsync += (arg) =>
    {
        var payload = arg.ApplicationMessage?.Payload == null ? null : Encoding.UTF8.GetString(arg.ApplicationMessage.Payload);
        Console.WriteLine($"Client ID: {arg.ClientId}, Payload: {payload}");
        return Task.CompletedTask;
    };
    
    server.StartAsync().Wait();
    return server;
});

// 其他Blazor服务注册代码
builder.Services.AddRazorPages();
builder.Services.AddServerSideBlazor();

var app = builder.Build();

// 中间件配置代码...

• 在Lights.razor中移除启动代码，改为注入服务即可：

@inject IMqttServer MqttServer
@code {
    // 无需再手动启动，服务已在Program.cs中初始化
}

2. 调整IIS应用池权限 #

• 打开IIS管理器，找到你的应用对应的应用池，右键选择高级设置。
• 将标识改为LocalSystem（测试用，生产环境建议用权限更低的自定义账户），或者给当前应用池账户添加权限：
  • 打开本地安全策略（secpol.msc），依次进入本地策略 > 用户权限分配，找到从网络访问此计算机，添加应用池账户（格式为IIS AppPool\你的应用池名称）。
  • 执行命令netsh http add urlacl url=http://*:1111/ user=IIS AppPool\你的应用池名称，给账户添加端口绑定权限。

3. 检查并开放防火墙端口 #

• 打开Windows Defender防火墙，进入高级设置 > 入站规则，新建规则：
  • 规则类型选择端口，下一步。
  • 选择TCP，指定本地端口为1111，下一步。
  • 允许连接，下一步。
  • 勾选域、专用、公网（根据你的网络环境调整），下一步。
  • 命名规则（如MQTT Server Port 1111），完成。

4. 验证网络绑定 #

• 在部署后的服务器上，打开命令提示符，执行netstat -ano | findstr :1111，检查端口是否被监听，且监听地址是否为0.0.0.0（代表所有网络接口），而不是仅127.0.0.1。

5. 测试连接 #

• 在服务器本地，用telnet localhost 1111或MQTT客户端工具测试端口是否可访问。
• 在局域网内的其他设备（如电脑）上，用服务器的局域网IP地址测试连接，确认端口可被外部访问。

内容的提问来源于stack exchange，提问作者Flood