如何使用IIS作为反向代理配置MinIO 解决链接错误与登录超时问题

问题根源 #

1. IIS的S_Minio站点重写规则逻辑错误：
   • 反向代理规则设置了HTTP_HOST匹配*console*的触发条件，而S_Minio站点绑定的是minio.mysite.com，该规则永远无法触发，所有指向MinIO主服务的API请求都会被拦截。
   • 浏览器跳转规则未限制请求方法，控制台发起的登录POST请求会被直接302重定向，无法正常到达MinIO主服务。
2. 服务器NAT回环限制：加了MINIO_SERVER_URL后，MinIO服务内部会主动请求https://minio.mysite.com做身份校验，若服务器内网无法通过公网IP访问自身域名，就会触发i/o timeout。
3. IIS反向代理未正确转发请求头，导致MinIO无法识别前端HTTPS协议。

修复步骤 #

步骤1：修改S_Minio站点重写规则

替换原有的重写规则配置如下：

<?xml version="1.0" encoding="UTF-8"?>
<configuration>
    <system.webServer>
        <rewrite>
            <rules>
                <!-- 仅GET请求且是浏览器访问时跳转到控制台 -->
                <rule name="RedirectBrowsers" enabled="true" patternSyntax="Wildcard" stopProcessing="true">
                    <match url="*" />
                    <conditions logicalGrouping="MatchAll">
                        <add input="{REQUEST_METHOD}" pattern="GET" />
                        <add input="{HTTP_USER_AGENT}" pattern="*firefox*" />
                        <add input="{HTTP_USER_AGENT}" pattern="*edge*" />
                        <add input="{HTTP_USER_AGENT}" pattern="*chrome*" />
                    </conditions>
                    <action type="Redirect" url="https://console.minio.mysite.com/login" redirectType="Found" />
                </rule>
                <!-- 所有其他请求代理到MinIO主服务 -->
                <rule name="Docker reverse proxy for minio" enabled="true" stopProcessing="true">
                    <match url="(.*)" />
                    <serverVariables>
                        <set name="HTTP_X_FORWARDED_PROTO" value="https" />
                    </serverVariables>
                    <action type="Rewrite" url="http://10.200.2.67:3009/{R:1}" appendQueryString="true" />
                </rule>
            </rules>
        </rewrite>
        <proxy preserveHostHeader="true" />
    </system.webServer>
</configuration>

注意需要在IIS的ARR功能中允许修改HTTP_X_FORWARDED_PROTO服务器变量，同时开启保留主机头的配置。

步骤2：解决NAT回环问题

在部署服务的Windows服务器的hosts文件（路径C:\Windows\System32\drivers\etc\hosts）中添加两条解析记录：

127.0.0.1 minio.mysite.com
127.0.0.1 console.minio.mysite.com

添加后重启docker服务，确保容器内部也能通过域名正确访问到本地的IIS服务。

步骤3：验证配置

重启MinIO容器和IIS站点，测试以下功能：

• 访问https://minio.mysite.com可正常跳转到控制台
• 控制台登录正常
• 生成的共享链接前缀为https://minio.mysite.com，公网可正常访问

内容的提问来源于stack exchange，提问作者highboi