Error de autenticación de Windows en IIS 7.5

Question

Estoy creando una aplicación interna simple para mi empresa y requiere autenticación de Windows para seguridad. Todos los demás modos de autenticación están deshabilitados. Estoy atascado en una situación en la que Internet Explorer solicita las credenciales de 3 veces, y luego produce este error:

Not Authorized

HTTP Error 401. The requested resource requires user authentication.

Entonces creó un sitio web escueto para probar esto. Creé un nuevo sitio en IIS, lo puse en su propio puerto (: 8111, elegido al azar), puse un archivo estático "default.htm" allí, deshabilité la autenticación anónima, luego habilité la autenticación de Windows. Todo lo demás quedó en la configuración predeterminada. El número de puerto fue asignado porque tenemos varios sitios en esta máquina que comparten la misma IP.

Éstos son algunos escenarios:

• Navegación desde el propio servidor web, a la dirección http: // localhost : 8111/works bien

• Mostrando del otro equipo, a http : // ServerIpAddress: 8111/ funciona bien

• Mostrando del anot su computadora, a http: // ServerName : 8111/FALLA (pide las credenciales de 3 veces, y luego da error 401)

He estado buscando en línea y tratando de encontrar una solución sin suerte hasta ahora. O no lo he encontrado, o no entiendo lo que estoy leyendo. Cualquier ayuda sería muy apreciada.

Answer 1

Acabo de encontrar la solución con la ayuda de un compañero de trabajo después de 2 días de luchar contra este problema. Esto es lo que escribió:

There are 2 providers for Windows Authentication (Negotiate and NTLM). When setting the Website Authentication to Windows Authentication, while Windows Authentication is highlighted, click on the Providers link on the right pane or IIS Manager and move NTLM to the top. By default Negotiate is on top which is why you are getting an authentication prompt.

Answer 2

Error 401.1 cuando navega por un sitio web que utiliza la Autenticación integrada.

Solución

desactivar la comprobación de bucle invertido

* In Registry Editor, locate and then click the following registry key: 

HKEY_LOCAL_MACHINE \ SYSTEM \ CurrentControlSet \ Control \ Lsa

* Right-click Lsa, point to New, and then click DWORD Value. 
* Type DisableLoopbackCheck, and then press ENTER. 
* Right-click DisableLoopbackCheck, and then click Modify. 
* In the Value data box, type 1, and then click OK. 

http://support.microsoft.com/kb/896861

Answer 3

Ha sido un tiempo desde que se hizo esta pregunta , pero sé que mucha gente ru n en esto mucho. Aquí se describe una solución más adecuada para esto: Kernel-mode authentication. Implementamos esto varios meses atrás, y funciona bien.

Otra buena explicación aquí: MORE 2008 AND KERBEROS: AUTHENTICATION DENIED, APP POOL ACCOUNT BEING INGNORED

Para aplicar a un solo sitio:

cd %windir%\system32\inetsrv 
set SiteName=TheSiteName 
appcmd.exe set config "%SiteName%" -section:system.webServer/security/authentication/windowsAuthentication /useKernelMode:"True" /useAppPoolCredentials:"True" /commit:apphost 

o para aplicar a todos los sitios:

%windir%\system32\inetsrv\appcmd.exe set config -section:windowsAuthentication /useAppPoolCredentials:"True" /commit:apphost 

Answer 4

yo personalmente no recomienda desactivar el loopbackcheck a nivel mundial en su servidor (IE: Do NOT establece DisableLoopbackCheck en un valor de 1 en su registro). Esta es una vulnerabilidad de seguridad. Por favor solo deshabilite para hosts conocidos.

Aquí hay una función Powershell para que apunte en la dirección correcta.

function Add-LoopbackFix 
{ 
    param(
     [parameter(Mandatory=$true,position=0)] [string] $siteHostName 
    ) 

    $ErrorActionPreference = "Stop" 

    Write-Host "Adding loopback fix for $siteHostName" -NoNewLine 

    $str = Get-ItemProperty -Name "BackConnectionHostNames" -path 'HKLM:\SYSTEM\CurrentControlSet\Control\Lsa\MSV1_0' -erroraction silentlycontinue 

    if ($str) { 
     if($($str.BackConnectionHostNames) -like "*$siteHostName*") 
     { 
      Write-Host "`tAlready in place" -f Cyan 
     } else{ 
      $str.BackConnectionHostNames += "`n$siteHostName" 
      Set-ItemProperty "HKLM:\SYSTEM\CurrentControlSet\Control\Lsa\MSV1_0" -Name "BackConnectionHostNames" -Value $str.BackConnectionHostNames 
      Write-Host "`tDone" -f Green 
     } 
    } else { 
     New-ItemProperty "HKLM:\SYSTEM\CurrentControlSet\Control\Lsa\MSV1_0" -Name "BackConnectionHostNames" -Value $siteHostName -PropertyType "MultiString" 
     Write-Host "`tDone" -f Green 
    } 

    Write-Host "`tnote: we are not disabling the loopback check all together, we are simply adding $siteHostName to an allowed list." -f DarkGray 
} 

> Add-LoopbackFix "ServerName" 

Source

Answer 5

If it still does not work after moving NTML to top in the list of providers try to remove Negotiate completely so there is only NTML left.

Eso lo fijó para mí - mover NTML arriba no ayudó en Windows Server 2012 e IIS 8.5. Encontré la solución en el siguiente problema de stackoverflow: IIS 7.5 Windows Authentication Not Working in Chrome