INET_E_DOWNLOAD_FAILURE错误排查：IIS站点外网访问异常

这问题我之前帮客户排查过类似的，核心是IE/Edge对「本地站点」的身份验证策略和外网环境的兼容性冲突，咱们一步步来拆解排查：

1. 精准调整本地站点的自动登录配置 #

你提到试过自定义安全级别，但要确认本地Intranet区域的「用户验证」设置是完全适配外网场景的：

• 打开IE/Edge的「Internet选项」→ 「安全」标签 → 选中「本地Intranet」→ 点击「自定义级别」
• 找到「用户验证」下的「登录」选项，务必选择「使用当前用户名和密码自动登录」，而不是「仅在Intranet区域自动登录」——外网环境下，哪怕你手动把站点加入本地站点，浏览器还是会判定这是非Intranet环境，后者的策略会直接导致身份验证请求失败。

2. 修正本地站点的识别逻辑 #

手动添加的站点有时会被浏览器误判为Internet区域，导致身份验证逻辑冲突，试试这两步：

• 进入「Internet选项」→ 「安全」→ 「本地Intranet」→ 「站点」→ 「高级」
• 把你的站点URL添加进去，同时勾选「包括所有不使用代理服务器的站点」（如果你们外网访问依赖代理，这个选项能让浏览器正确识别站点归属）
• 取消勾选「包括所有本地(Intranet)站点」，避免自动识别的内部站点和你手动添加的外网站点产生冲突。

3. 检查IIS的Windows身份验证配置 #

外网环境下Kerberos容易因为SPN配置失效，导致IE/Edge无法完成身份验证，而Chrome会自动 fallback到NTLM，但IE/Edge在本地站点模式下不会：

• 打开IIS管理器 → 找到你的站点 → 「身份验证」→ 选中「Windows身份验证」→ 右键选择「高级设置」
• 勾选「启用内核模式身份验证」，然后进入「提供程序」，确保同时启用了「NTLM」和「Negotiate」（Kerberos），不要只保留Kerberos。

4. 清除缓存和调整代理设置 #

• 代理设置可能干扰本地站点的身份验证请求：进入「Internet选项」→ 「连接」→ 「局域网设置」，要么临时关闭代理，要么把站点加入「代理服务器」的「高级」例外列表。
• 清除旧的身份验证凭据：打开「控制面板」→ 「用户账户」→ 「凭据管理器」→ 「Windows凭据」，找到和目标站点相关的凭据并删除，然后重新访问站点。

5. 用Fiddler抓包分析请求细节 #

如果开发者工具没抓到有效信息，试试用Fiddler抓完整的请求流程，重点关注：

• 第一次请求的响应是否是401 Unauthorized，之后有没有触发NTLM/Kerberos的协商流程？
• 请求被重置的阶段是在身份验证之前还是之后？
• 注意勾选Fiddler的「Decrypt HTTPS traffic」选项（如果站点是HTTPS），这样能看到完整的请求头和响应内容。

内容的提问来源于stack exchange，提问作者Iceman