IIS中401访问拒绝错误时如何实现自动重定向？

我之前碰到过一模一样的棘手场景——单域控制器不稳定，Windows身份验证直接在IIS管道的预请求阶段就返回401，完全轮不到ASP.NET的customErrors生效。核心原因很明确：Windows身份验证是在ASP.NET模块启动前的早期阶段处理的，这时候web.config里的错误配置根本没机会接管请求。下面是几个经过验证的可行方案，按优先级排序：

1. 用IIS原生自定义错误页（最直接有效） #

IIS本身的错误页配置是在管道更早阶段生效的，刚好能覆盖这种预请求阶段的401错误：

• 打开IIS管理器，定位到你的目标网站，点击左侧功能列表里的错误页
• 找到状态码为401的条目，双击进入编辑界面
• 在弹出的窗口中选择响应类型：
  • 选「文件」：直接指定你自定义错误页面（比如/dc-down-error.html）的物理路径
  • 选「URL」：输入相对路径（比如/dc-down-error），但要注意这个URL必须允许匿名访问，否则会陷入验证循环
• 最后务必在站点的身份验证设置里，给错误页面所在的目录/文件开启匿名身份验证，确保用户即使验证失败也能正常访问它

2. 用URL重写模块精准拦截401响应 #

如果需要区分「DC不可用的401」和「普通权限不足的401」，可以用IIS的URL重写模块实现更灵活的逻辑：

• 先确认已安装URL重写模块（没装的话，从IIS管理器的「管理」菜单打开Web平台安装程序，搜索安装即可）
• 在web.config中添加如下重写规则，拦截特定子状态码的401响应并跳转：

<system.webServer>
  <rewrite>
    <outboundRules>
      <rule name="Redirect DC Failure 401" stopProcessing="true">
        <match serverVariable="RESPONSE_STATUS" pattern="401" />
        <!-- 401.5是身份验证模块错误，通常对应DC不可用的场景 -->
        <conditions>
          <add input="{RESPONSE_SUBSTATUS}" pattern="5" />
        </conditions>
        <action type="Redirect" url="/dc-down-error.html" redirectType="Temporary" />
      </rule>
    </outboundRules>
  </rewrite>
</system.webServer>

• 同样要保证/dc-down-error.html允许匿名访问，避免出现验证死循环

3. 临时缓解：启用身份验证票据缓存 #

虽然不能解决重定向问题，但能大幅减少DC不可用带来的401错误频次——让IIS缓存用户的身份验证票据，一段时间内无需重复向DC验证：

• 在IIS管理器的网站身份验证选项中，双击Windows身份验证
• 点击右侧的高级设置
• 勾选「启用内核模式身份验证」（如果未开启），然后设置「缓存凭据」的有效期，比如30分钟
• 用户首次验证通过后，30分钟内即使DC故障，也能通过缓存的票据完成验证，降低401出现的概率

关键注意事项 #

• 所有自定义错误页面必须开启匿名访问，否则用户在验证失败时会被反复要求登录，最终还是看到默认的401页面
• 区分401子状态码很重要：401.1是登录凭据错误，401.5才是身份验证模块故障（对应DC不可用），精准拦截能避免误跳转

内容的提问来源于stack exchange，提问作者Alexei