por qué la autenticación/suplantación de Windows falla en la aplicación asp.net con iis 7.5/windows 7/

Question

Estoy solucionando problemas por los que no puedo pasar el cuadro de diálogo de inicio de sesión en un sitio ASP.Net configurado para Autenticación e imitación de Windows.

Tengo una aplicación ASP.Net 2.0 y estoy tratando de implementarla en Windows 7 con IIS 7.5. Creé un sitio nuevo y lo vinculé a localhost y a un nombre de dominio completamente calificado. el FQDN está en mi archivo de hosts, y se lo redirecciona a 127.0.0.1

El sitio también se ejecuta con un AppDomain que creé, con modo de interconexión integrado, y la identidad del modelo de proceso está establecida en ApplicationPoolIdentity.

Web.config incluye lo siguiente:

<trust level="High" /> 
<authentication mode="Windows" /> 
<authorization> 
    <deny users="?"/> 
</authorization> 
<identity impersonate="true"/>` 

ACL en el directorio para el sitio está establecido en Todos (Control total - Para la prueba). La cuenta virtual del grupo de aplicaciones (cosa de Windows 7) se establece en control total en el directorio físico del sitio también.

La autenticación IIS tiene activada la suplantación ASP.Net y habilitada la Autenticación de Windows.

Cuando me conecto al sitio como localhost, me permite pasar el indicador de inicio de sesión y la aplicación se carga sin incidentes.

Cuando me conecto al sitio como FQDN establecido en los enlaces de encabezado de host para este sitio/ip/port, no puedo pasar el indicador de inicio de sesión. Al hacer clic en cancelar, se genera una página de error http 401.1.

¿Por qué?

Answer 1

y la respuesta de éste va a ser una característica de seguridad conocida como la comprobación de autenticación de bucle invertido, introdujo camino de regreso en Windows 2003 SP1, según: http://support.microsoft.com/kb/926642

yo estaba tratando de conectar con mis IIS encabezados de host ejemplo usando un encabezado de host definido en mi archivo/etc/hosts como apuntando a 127.0.0.1, mientras estoy conectado en la máquina que ejecuta iis - este es el escenario de loopback.

te muerde en diversos contextos, como el presente (http://blogs.bluethreadinc.com/thellebuyck/archive/2008/10/30/401.1-error-when-accessing-sharepoint-from-server.aspx) o este mundo de dolor en Google (http://www.google.ca/search?q=authentication+loopback+check&ie=utf-8&oe=utf-8&aq=t&rls=org.mozilla:en-US:official&client=firefox-a)

LA REVISIÓN implica algún trabajo sencillo regedit: http://blogs.bluethreadinc.com/thellebuyck/archive/2008/10/30/401.1-error-when-accessing-sharepoint-from-server.aspx

Asimismo, no tenía necesidad de habilitar la suplantación para mi situación, así que deshabilité eso, y ahora puedo conectarme usando mi fqdn fingido tanto local como remotamente

Answer 2

La URL proporcionada por Velvet está fuera de servicio. He encontrado una versión en caché en archive.org:

" 401.1 error al acceder desde el servidor de SharePoint

me encontré con este tema varias veces en el pasado en la creación de entornos de SharePoint (tanto para uso interno y clientes desarrollo), así que pensé que era hora de escribir una publicación en el blog. Si está ejecutando SharePoint Server 2007 o WSS 3.0 en Windows Server 2003 SP1 o posterior, se encontrará con problemas de autenticación si intenta acceder a un sitio de SharePoint usando encabezados de host desde el servidor mismo (es decir, el archivo de host tiene portal.mydomain.com apuntando a 127.0.0.1). Este problema se manifiesta como el resultado de una verificación de seguridad de bucle que Microsoft incorporó a Windows Server 2003 SP1 y posterior.El objetivo de la comprobación de bucle invertido es eliminar los ataques de denegación de servicio, sin embargo, causa problemas para acceder localmente a los sitios de SharePoint desde el servidor. En un entorno de producción típico, esto normalmente no es un problema, ya que rara vez se accede a los sitios de SharePoint (además del administrador central) desde un servidor web front-end. Sin embargo, tengo entornos de desarrollo físicos y virtuales donde todas las actividades tienen lugar desde el servidor, por lo que esto puede causar acidez a menos que haya resuelto el problema anteriormente. Puede leer el artículo detallado de KB en KB926642 & KB896861. Aquí hay un resumen de cómo solucionar el problema. Por lo general, desactivo la comprobación de bucle invertido, pero esto no se recomienda para entornos de servidor de producción.

Método 1: Deshabilitar la comprobación de autenticación de bucle invertido volver a habilitar el comportamiento que existe en Windows Server 2003 estableciendo la entrada de registro en la subclave DisableLoopbackCheck HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa registro en 1. Para establecer la entrada DisableLoopbackCheck registro en 1, siga estos pasos en la computadora del cliente:

1. Haga clic en Inicio, haga clic en Ejecutar, escriba regedit y luego haga clic en Aceptar.
2. Busque y haga clic en la siguiente subclave del registro: HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa
3. Haga clic con el botón secundario en Lsa, seleccione Nuevo y, a continuación, haga clic en Valor DWORD.
4. Escriba DisableLoopbackCheck, y luego presione ENTRAR.
5. Haga clic con el botón derecho en DisableLoopbackCheck, y luego haga clic en Modificar.
6. En el cuadro Información del valor, escriba 1 y luego haga clic en Aceptar.
7. Salir del Editor del registro.
8. Reinicia la computadora. Nota Debe reiniciar el servidor para que este cambio surta efecto. De forma predeterminada, la funcionalidad de comprobación de bucle invertido está activada en Windows Server 2003 SP1 y la entrada de registro DisableLoopbackCheck está configurada en 0 (cero). La seguridad se reduce cuando deshabilita la verificación de bucle invertido de autenticación, y abre el servidor de Windows Server 2003 para los ataques man-in-the-middle (MITM) en NTLM.

Método 2: Crear la Autoridad nombres de host de seguridad local que se puede hacer referencia en una solicitud de autenticación NTLM Para ello, siga estos pasos para todos los nodos en el equipo cliente:

1. Haga clic en Inicio , haga clic en Ejecutar, escriba regedit y luego haga clic en Aceptar.
2. Busque y haga clic en la siguiente subclave del registro: HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa\MSV1_0
3. Haga clic con el botón secundario en MSV1_0, seleccione Nuevo y luego haga clic en Valor de cadenas múltiples.
4. En la columna Nombre, escriba BackConnectionHostNames, y luego presione ENTRAR.
5. Haga clic con el botón derecho en BackConnectionHostNames y luego haga clic en Modificar.
6. En el cuadro Información del valor, escriba el CNAME o el alias DNS, que se utiliza para los recursos compartidos locales en la computadora, y luego haga clic en Aceptar.

Nota Escriba cada nombre de host en una línea separada.

Nota Si la entrada de registro BackConnectionHostNames existe como un tipo REG_DWORD, debe eliminar la entrada de registro BackConnectionHostNames. 7. Salga del Editor del registro y luego reinicie la computadora.
"

De:. http://blogs.bluethreadinc.com/thellebuyck/archive/2008/10/30/401.1-error-when-accessing-sharepoint-from-server.aspx el día 05 Junio ​​2009