WSO2IS短信OTP配置：企业代理下连接拒绝问题解决方法

我之前在企业代理环境部署WSO2 IS时也碰到过一模一样的问题，大概率是IS没有正确适配代理环境，或者内部服务的网络配置和代理规则冲突了。下面是我亲测有效的排查和配置步骤：

1. 配置WSO2 IS的HTTP/HTTPS代理规则 #

WSO2 IS本身需要通过代理访问外部服务（比如OAuth2回调、第三方身份提供者），同时也要避免把内部通信走代理导致异常。你需要修改IS的核心配置文件：

• 打开 <IS_HOME>/repository/conf/deployment.toml，添加代理基础配置：

  [transport.http.proxy]
  host = "你的企业代理IP或域名"
  port = "代理端口（例如3128）"
  username = "代理认证用户名（如果需要）"
  password = "代理认证密码（如果需要）"
  
  [transport.https.proxy]
  host = "你的企业代理IP或域名"
  port = "代理端口（例如3128）"
  username = "代理认证用户名（如果需要）"
  password = "代理认证密码（如果需要）"
  

• 关键：添加非代理白名单，让IS直接访问内部服务（包括自身和你的Web应用），避免代理拦截内部通信：

  [transport.http.non_proxy_hosts]
  hosts = ["localhost", "127.0.0.1", "你的Web应用域名/IP", "IS的外部访问域名/IP"]
  
  [transport.https.non_proxy_hosts]
  hosts = ["localhost", "127.0.0.1", "你的Web应用域名/IP", "IS的外部访问域名/IP"]
  

2. 确保WSO2 IS服务绑定正确的网络接口 #

默认情况下，WSO2 IS可能只绑定localhost，导致代理或外部Web应用无法访问其服务。修改deployment.toml的监听配置：

[transport.http]
listener.host = "0.0.0.0"  # 允许所有网络接口访问HTTP服务
listener.port = "9763"

[transport.https]
listener.host = "0.0.0.0"  # 允许所有网络接口访问HTTPS服务
listener.port = "9443"

修改后重启IS，确保服务能被代理服务器正确转发请求。

3. 检查Web应用的代理适配配置 #

Web应用在重定向到IS登录时，要确保：

• OAuth2配置中的redirect_uri是代理可访问的外部公网地址，而非内部IP；
• 如果Web应用本身也受代理管控，要在Web应用的配置里添加IS地址的代理规则，确保它能正常连接IS的授权端点。

4. 验证企业代理的白名单与防火墙规则 #

很多企业代理会拦截未授权的跨服务器请求，需要：

• 确认IS的外部服务端口（9443/9763）已加入代理的放行白名单，允许Web应用与IS的双向通信；
• 检查企业防火墙是否允许代理服务器与IS服务器之间的端口通信，避免数据包被拦截导致连接拒绝。

5. 借助日志定位具体问题 #

如果以上步骤都无效，查看IS的日志文件<IS_HOME>/repository/logs/wso2carbon.log，搜索「Connection Refused」相关条目——日志会明确显示失败的目标地址（比如是IS无法访问Web应用的回调，还是Web应用无法连接IS的授权端点），再针对性调整代理或白名单规则。

内容的提问来源于stack exchange，提问作者Antonio Grimaldi