向ASP.Net应用POST XML数据因AWS负载均衡返回403错误问题咨询

核心问题根因 #

从返回的响应头可以看到403响应由awselb/2.0直接返回，说明请求在转发到后端IIS服务前就被AWS负载均衡侧拦截，结合配置信息常见错误原因如下：

1. AWS WAF（Web应用防火墙）绑定在ALB上，规则拦截了POST类型的请求
2. ALB身份验证配置错误，未放行POST请求的访问权限
3. 后端IIS配置了Windows身份验证，公网域名访问未携带身份验证凭证触发403
4. ALB监听器/目标组配置不匹配，导致请求转发失败

解决方案 #

1. ALB侧配置排查 #

• 检查ALB关联的WAF规则：确认是否存在拦截POST请求、application/x-www-form-urlencoded请求类型的拦截规则，可临时关闭WAF测试请求是否恢复正常
• 检查ALB监听器配置：确认443端口HTTPS监听器的转发规则是否指向正确的后端目标组，目标组的协议、端口配置要和后端IIS实际监听的配置（HTTP 8080）保持一致
• 检查目标组健康检查配置：确认健康检查路径、端口配置正确，后端EC2实例的健康状态为健康

2. 应用配置修正 #

当前Web.config配置了Windows身份验证，公网访问默认不会携带Windows身份凭证，直接触发403错误：

• 如不需要Windows身份验证，修改Web.config中system.web节点下的配置为：

<authentication mode="None"/>

• 如需要保留Windows身份验证，需要开启ALB粘性会话，保证同一个客户端的所有请求都转发到同一个后端实例，满足NTLM身份验证的会话要求
• 检查IIS站点绑定配置：确认站点已经添加dev.mysite.com的主机头绑定，对应端口和协议与ALB转发配置一致

3. 业务代码优化 #

• 业务代码中POST请求的ContentType配置错误，修改代码中的ContentType配置为正确的XML请求类型：

req.ContentType = "application/xml";

• 为避免内部请求绕ALB循环转发，可将Web.config中的WebRoot配置修改为本地回环地址：

<add key="WebRoot" value="http://127.0.0.1:8080/"/>

4. 日志排查定位 #

• 开启ALB访问日志，查看403响应的具体错误编码，定位是WAF拦截、ALB规则错误还是后端返回的错误
• 查看后端IIS站点日志，确认请求是否到达后端实例，进一步缩小排查范围

内容的提问来源于stack exchange，提问作者Aravindan vaithialingam