WSO2 API Manager 3.2适配NTLM协议透传运行的可行性技术问询

WSO2 API Manager 3.2原生支持NTLM协议透传能力，该部署方案完全具备可行性，以下是具体的实现逻辑、配置要求及常见问题排查方向：

核心逻辑 #

WSO2 APIM 3.2底层基于Synapse网关实现流量转发，默认可以透传NTLM认证相关的请求头、响应头，网关不参与NTLM的挑战-应答交互，认证过程完全由请求发起客户端和后端服务直接完成，无需修改现有后端的NTLM授权逻辑。

必要配置步骤 #

• 在对应API的端点配置模块，将端点类型设置为HTTP/REST Endpoint，勾选Allow Credentials选项，开启网关对认证类请求头的透传权限
• 编辑网关节点配置文件<APIM_HOME>/repository/conf/deployment.toml，添加如下配置，关闭网关对NTLM相关头的默认拦截过滤：

  [synapse_properties]
  'synapse.pass.http.headers' = 'Authorization,WWW-Authenticate'
  

• 重启API Manager网关节点，重新发布目标API后配置即可生效

常见适配问题排查 #

• 若出现NTLM握手失败，优先检查链路是否存在多节点负载均衡：NTLM为会话绑定协议，同一客户端的连续请求必须路由到同一个后端服务节点，需配置网关的会话保持策略，避免同一连接的请求被分发到不同后端实例
• 若返回401未授权错误，检查是否在API上开启了网关层面的其他认证策略（如OAuth2、JWT校验），若同时开启网关认证，需确保网关完成自身认证逻辑后不会覆盖或删除原始请求中的NTLM相关请求头
• 避免在API的中介流中配置请求头修改、消息格式转换类策略，此类操作可能会破坏NTLM握手的请求结构，导致认证失败

内容的提问来源于stack exchange，提问作者Andrew Metelkin