LAN内网Web应用向DMZ服务器保存文件的权限问题排查

看起来你遇到的是典型的跨服务器文件共享身份验证问题，尤其是在Windows工作组环境下（两台都是Windows 2012且使用本地用户），Web应用程序池的身份在访问远程共享时容易踩一些细节坑，我帮你梳理下排查和解决步骤：

1. 先做共享与NTFS权限的双重检查 #

Windows共享的权限是共享权限+NTFS权限的组合，两者必须同时满足才能正常访问：

• 登录DMZ服务器，找到目标共享文件夹：
  • 右键属性→共享标签，确保你创建的本地用户拥有完全控制或读写的共享权限；
  • 切换到安全标签（NTFS权限），同样给该用户分配修改或完全控制权限，注意要勾选对应的「允许」项。

提示：共享权限针对网络访问，NTFS权限是本地+网络访问的最终控制，两者取最严格的权限规则，所以必须同时设置到位。

2. 调整工作组环境的身份验证策略 #

因为两台服务器是独立的本地用户（哪怕同名同密码），Windows默认不会自动信任跨服务器的本地用户身份，需要修改本地安全策略：

• 在内网服务器和DMZ服务器上分别打开secpol.msc（本地安全策略）：
  • 导航到本地策略→安全选项；
  • 找到网络访问: 本地帐户的共享和安全模型，将其修改为经典 - 本地用户以自己的身份验证。
    这个设置会让Windows在跨服务器访问时，直接使用提供的用户名和密码进行验证，而非强制使用来宾账户。

3. 正确配置应用程序池身份 #

你之前的方向是对的，但可能在身份格式上出了问题：

• 不要使用ApplicationPoolIdentity这类内置虚拟身份，它们是服务器本地专属的，无法跨服务器完成身份验证；
• 如果用DMZ服务器的本地用户，在内网服务器的IIS应用程序池设置里，用户名必须写成[DMZ服务器名称]\[本地用户名]（比如DMZ-WEB\dmz-file-user），再输入该用户的正确密码；
• 如果你用内网服务器的同名同密码本地用户，除了确保两台服务器的用户名、密码完全一致（包括大小写，虽然Windows默认不区分，但某些场景会有影响），还要确保已经完成了上面的本地安全策略修改。

4. 跳过映射驱动器，直接使用UNC路径 #

你在Windows资源管理器里用映射驱动器没问题，但Web应用程序池运行在服务会话下，映射的驱动器属于用户会话级别，服务无法访问这些映射路径。所以Web应用代码里必须使用UNC路径访问共享，比如：

// 正确写法：使用UNC路径
string savePath = @"\\DMZ-SERVER\SharedFolder\Uploads\test.txt";
File.WriteAllText(savePath, content);

// 错误写法：使用映射驱动器Z:
string savePath = @"Z:\Uploads\test.txt";

5. 模拟身份验证测试 #

如果还是有问题，可以先验证身份是否能正常访问共享：

• 在内网服务器打开命令提示符，执行：

  runas /user:DMZ-SERVER\dmz-user "cmd.exe"
  

• 输入该用户的密码后，会打开一个新的命令窗口，在这个窗口里执行：

  net use \\DMZ-SERVER\SharedFolder
  

如果能成功连接，说明身份验证没问题，问题大概率出在Web应用的代码或IIS其他设置上；如果连接失败，会给出具体错误代码，可根据代码进一步排查（比如错误53是找不到服务器，错误5是权限不足）。

按照这些步骤一步步排查，应该能解决你的权限问题。

内容的提问来源于stack exchange，提问作者dsvick