TFS 2017升级后服务器本地无法登录，反复提示输入密码

解决TFS服务器内部无法通过新FQDN URL登录的问题 #

我之前碰到过一模一样的TFS升级换URL后的本地访问故障，结合你的场景，核心原因基本是本地身份验证环回限制或者DNS解析异常，下面是一步步的排查和解决方法：

1. 禁用Windows环回检查（最常见的原因） #

Windows默认会阻止本地机器使用FQDN（比如tfs.xyz.com）访问自身的Web服务，这会触发NTLM身份验证失败，导致反复弹出密码框却无法登录。解决方法很简单：

• 打开注册表编辑器（运行regedit）
• 导航到路径：HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa
• 右键新建DWORD(32位)值，命名为DisableLoopbackCheck，设置数值数据为1
• 重启TFS相关服务（比如Visual Studio Team Foundation Background Job Agent、IIS的TFS应用池），或者直接重启服务器

这个设置是微软官方针对内部服务器场景推荐的方案，不会带来额外安全风险。

2. 检查本地HOSTS文件解析 #

如果服务器内部把tfs.xyz.com解析到了外部公网IP（而不是服务器自身的本地IP），也会导致身份验证异常：

• 用管理员权限打开记事本，路径：C:\Windows\System32\drivers\etc\hosts
• 在文件末尾添加一行：[你的TFS服务器本地IP] tfs.xyz.com（比如192.168.1.100 tfs.xyz.com）
• 保存后，运行命令ipconfig /flushdns刷新DNS缓存，再尝试访问新URL

3. 确认证书的本地信任状态 #

虽然通配符证书是公司颁发的，但可能服务器本地没有把它加入受信任根证书列表：

• 打开MMC控制台（运行mmc），添加「证书」管理单元，选择「本地计算机」
• 检查「个人/证书」里是否有*.xyz.com的证书，然后把它复制到「受信任的根证书颁发机构/证书」目录下
• 重启IIS服务（iisreset）后再测试

4. 验证TFS配置的URL一致性 #

升级后可能TFS的内部配置没有完全同步新URL：

• 打开TFS管理控制台，进入「应用层」，确认「公共URL」已经设置为https://tfs.xyz.com
• 检查每个团队集合的URL，确保也更新为新的FQDN地址

快速验证步骤 #

• 在服务器上运行nslookup tfs.xyz.com，确认返回的IP是服务器本地IP
• 用浏览器的隐私模式（Incognito/InPrivate）访问新URL，排除缓存或Cookie干扰
• 运行命令curl -I https://tfs.xyz.com/tfs，查看返回的HTTP状态码，如果是401 Unauthorized，大概率还是身份验证的环回问题

内容的提问来源于stack exchange，提问作者Sameer