升级TFS后，内网隔离区无法通过HTTP连接TFS的问题求助

结合你描述的域内隔离区部署TFS、升级后复制IIS配置仍HTTP访问失败的场景，我整理了几个实战中常用的排查方向：

1. 检查IIS站点绑定与优先级 #

升级过程中TFS安装程序可能自动新增或修改绑定配置，先确认：

• 打开IIS管理器，找到TFS站点的绑定列表，确保HTTP绑定（通常是80端口）存在，主机头、IP地址设置和升级前一致，没有被其他站点占用。
• 如果同时存在HTTPS绑定，检查是否HTTP绑定被设置为低优先级，导致请求被默认路由到HTTPS。

2. 验证IIS身份验证与URL重写规则 #

虽然你复制了配置，但升级可能重置了精细设置：

• 进入站点的身份验证设置，确认Windows身份验证已启用，且提供商中的Negotiate和NTLM都处于勾选状态（域环境下TFS依赖这两个进行身份校验）。
• 检查IIS的URL重写模块，看是否有升级后自动添加的强制HTTPS跳转规则——这会导致隔离区内HTTP请求被重定向，而隔离区内可能没有对应SSL证书，从而引发异常。可以临时禁用该规则测试。

3. 核对TFS管理控制台的访问映射配置 #

TFS升级后，应用层的访问配置可能被覆盖：

• 打开TFS管理控制台，进入应用层 → 访问映射，确认内部URL（隔离区内的HTTP地址）配置正确，没有被误改为HTTPS。
• 检查客户端访问URL是否与内部HTTP地址匹配，Visual Studio连接TFS时会优先使用这个配置。

4. 测试端口连通性与监听状态 #

升级后防火墙或端口监听可能出现问题：

• 在TFS服务器上执行命令 netstat -ano | findstr ":80"，确认80端口被IIS进程（通常是w3wp.exe）监听。
• 在隔离区的开发机器上用 telnet <TFS服务器IP> 80 测试端口是否能正常连通，排除防火墙拦截的可能。

5. 查看事件日志与IIS请求日志 #

这是定位具体错误的关键：

• 打开Windows事件查看器，在应用程序日志中查找Team Foundation开头的事件，查看是否有升级后产生的报错信息。
• 查看IIS站点日志（默认路径：C:\inetpub\logs\LogFiles），根据HTTP请求的状态码定位问题：
  • 403：权限或身份验证配置问题；
  • 404：站点路径或绑定主机头不匹配；
  • 500：TFS服务内部错误，需检查TFS相关服务是否正常启动。

6. 排查Visual Studio连接的身份验证问题 #

如果VS连接报错，重点检查：

• 如果出现反复的身份验证弹窗，可能是Kerberos的SPN（服务主体名称）配置异常。执行命令 setspn -L <TFS服务器名称>，确认存在HTTP/<TFS服务器名>和HTTP/<TFS服务器完整域名>的SPN条目，若缺失需联系域管理员添加。

先从这些方向逐步排查，升级过程中配置被重置或覆盖是这类问题的常见原因，应该能快速定位到问题点。

内容的提问来源于stack exchange，提问作者KJ Dietrich