DMZ服务器非AD域成员时Windows Authentication配置失效求助

老哥，你这问题的根源其实很明确：当你把<authentication mode="Windows"/>打开时，ASP.NET会直接交给IIS的Windows认证模块处理，完全忽略你配置的<membership>节点——那个Membership Provider是给Forms Authentication用的，和Windows Auth模式八竿子打不着，这就是为什么你配置了LDAP也完全没生效。

再说说你本地测试的诡异现象：输入错误凭证还能通过，大概率是浏览器自动帮你传递了当前登录的域账户凭证（比如你本地机器是域成员，Chrome/IE默认会自动发送当前用户的身份信息），你手动输入的错误密码根本没被用上，看起来像是“验证通过”，实则是用了正确的自动凭证。

为什么非域服务器上Windows Auth没法验证AD用户？ #

Windows Authentication在非域成员服务器上，默认只会用NTLM协议验证服务器本地的Windows账户，根本不会去对接你的域AD。只有当服务器加入域后，Windows Auth才能用Kerberos协议直接验证AD用户——这是Windows Auth的设计限制。

可行的解决方案 #

方案1：把DMZ服务器加入域（最省心） #

如果你的安全政策允许，直接把DMZ服务器加入公司域。之后只要：

• 在IIS里开启Windows Authentication，禁用其他认证方式
• 保留web.config里的：

  <authentication mode="Windows"/>
  <authorization>
    <deny users="?" />
  </authorization>
  

完全不需要配置<membership>，IIS会自动通过Kerberos验证AD用户，这是最稳定的方案。

方案2：改用Forms Authentication + AD Membership Provider #

如果不能把服务器加入域，那就放弃Windows Auth，换成Forms Auth配合你之前的LDAP配置：

1. 修改web.config的认证模式：

   <authentication mode="Forms">
     <forms loginUrl="~/Account/Login" timeout="2880" />
   </authentication>
   

2. 保留你原来的<connectionStrings>和<membership>配置，确保：
   • LDAP连接字符串正确（LDAP://<AD-IP>/DC=<DomainName>）
   • 用于LDAP查询的账户（<Domain>\<LDAP-Reader-User>）有读取AD用户信息的权限
   • DMZ服务器能访问AD的LDAP端口（默认389，LDAPS用636），防火墙要开放
3. 做一个登录页面，让用户输入AD账户密码，通过Membership.ValidateUser()方法验证。

方案3：Basic Authentication + 手动AD验证（模拟Windows Auth体验） #

如果想要类似Windows Auth的浏览器登录框体验，又不能加域，可以用IIS的Basic Authentication，然后手动验证AD凭证：

1. 在IIS里开启Basic Authentication，禁用Windows Authentication
2. 在Global.asax或者自定义ActionFilter里添加验证逻辑：

   protected void Application_AuthenticateRequest(object sender, EventArgs e)
   {
       if (Request.IsAuthenticated && User.Identity is HttpBasicIdentity basicIdentity)
       {
           string domainUsername = basicIdentity.Name;
           string password = basicIdentity.Password;
   
           // 拆分域和用户名（如果用户输入的是DOMAIN\user格式）
           string[] parts = domainUsername.Split('\\');
           string domain = parts[0];
           string username = parts[1];
   
           // 验证AD凭证
           using (var adContext = new PrincipalContext(ContextType.Domain, "<AD-IP>", "DC=<DomainName>"))
           {
               if (!adContext.ValidateCredentials(username, password, ContextOptions.Negotiate))
               {
                   Response.StatusCode = 401;
                   Response.AddHeader("WWW-Authenticate", "Basic realm=\"YourAppName\"");
                   Response.End();
               }
           }
       }
   }
   

   注意：一定要配合HTTPS使用，不然Basic Auth的凭证是明文传输的。

最后检查点 #

不管用哪个方案，先确认DMZ服务器和AD服务器之间的网络连通性：

• 能ping通AD服务器的IP
• 能telnet到AD的LDAP端口（389或636）
• LDAP查询账户的密码没过期，权限足够

内容的提问来源于stack exchange，提问作者bTab