如何通过IIS和ASP.NET Core从跨域VPN连接的服务器获取下载文件

• IIS应用池默认身份权限不足：本地调试时代码运行在当前登录的Windows用户上下文，该用户具备跨VPN访问Server-2共享目录的权限；发布到IIS后，应用默认使用IIS内置本地账户运行，这类账户没有跨域访问外部共享目录的权限，触发用户名密码错误的异常。
• 异常栈中的Server-0路径为编译信息：异常栈里显示的源代码路径是代码在TeamCity服务器（Server-0）编译时留下的pdb调试信息，和运行时的文件访问路径无关，属于正常现象，无需处理。
• 映射网络驱动器/软链接失效原因：网络驱动器属于用户会话级资源，仅登录服务器的当前用户会话可见，IIS应用池运行在后台非交互式会话中，无法识别普通用户映射的驱动器和软链接。

方案1：代码层面身份模拟（已验证可正常运行） #

在访问Server-2共享文件的逻辑外层，添加Windows身份模拟逻辑，临时切换为具备Server-2访问权限的账号上下文执行文件操作，核心实现代码如下：

// 身份模拟帮助类
public class WindowsImpersonation : IDisposable
{
    [DllImport("advapi32.dll", SetLastError = true)]
    private static extern bool LogonUser(string lpszUsername, string lpszDomain, string lpszPassword, int dwLogonType, int dwLogonProvider, out IntPtr phToken);
    
    [DllImport("kernel32.dll", CharSet = CharSet.Auto)]
    private static extern bool CloseHandle(IntPtr handle);

    private IntPtr _token = IntPtr.Zero;
    private WindowsImpersonationContext _context;

    public WindowsImpersonation(string domain, string username, string password)
    {
        // LOGON32_LOGON_NETWORK = 3, LOGON32_PROVIDER_DEFAULT = 0
        if (!LogonUser(username, domain, password, 3, 0, out _token))
        {
            throw new System.ComponentModel.Win32Exception();
        }
        _context = WindowsIdentity.Impersonate(_token);
    }

    public void Dispose()
    {
        _context?.Undo();
        if (_token != IntPtr.Zero) CloseHandle(_token);
    }
}

修改后的下载逻辑：

public ActionResult Download(string filename)
{
    try
    {
        string filePath = _path + filename;
        // 从加密配置中读取有权限的账号信息
        var domain = "server2domain";
        var username = "user";
        var password = "your_password";
        
        using (new WindowsImpersonation(domain, username, password))
        {
            if (!System.IO.File.Exists(filePath))
            {
                // 记录日志
                return View("Close");
            }
            byte[] fileBytes = System.IO.File.ReadAllBytes(filePath);
            return File(fileBytes, "application/force-download", filename);
        }
    }
    catch (Exception e)
    {
        // 记录完整异常栈便于排查
        return View("Close");
    }            
}

方案2：IIS配置层面修改（无需修改代码） #

1. 打开IIS管理器，找到你站点对应的应用池
2. 右键点击应用池选择【高级设置】
3. 在【进程模型】分类下找到【标识】选项，点击右侧的三个点按钮
4. 选择【自定义账户】，点击【设置】，输入具备Server-2共享目录访问权限的账号密码（可以是server1domain\webuser，也可以是server2domain\user）
5. 保存配置后重启应用池即可生效

• 所有访问共享文件的路径统一使用UNC格式（如\\Server-2\共享文件夹\），不要使用映射盘符
• 访问权限的账号密码不要硬编码在代码中，建议存储在加密的配置节点、IIS配置存储或专用密钥管理服务中，密码过期后及时更新配置
• 确保Server-1的VPN设置为开机自动连接，无需用户登录即可自动激活，避免服务器重启后VPN断开导致访问失败

内容的提问来源于stack exchange，提问作者Patrick Schulz