IIS 本地調試無法透過 IP 存取：權限與防火牆雙重排查指南

現象：Windows XP SP2 + IIS 6.0 環境，https://localhost/ 正常，但 https://<本機IP>/ 回傳 401.3 / 403 /「無權查看網頁，基於所提供的憑據，您沒有權限查看此目錄或網頁」。經典雙重誤區：NTFS 權限缺失 與 Windows 防火牆阻攔。本文提供標準排查流程。

根因一：NTFS 權限未授予 IUSR / IIS_WPG

IIS 6.0 預設匿名存取使用 IUSR_<機器名> 帳號 (屬於 Guests 群組)，應用程式池身份預為 Network Service。若網站目錄在 NTFS 分區且未顯式授權這些帳號，IP 存取將因 ACL 檢查失敗而拒絕 (localhost 可能繞過部分驗證)。

修復步驟

1. 右鍵網站根目錄 (如 C:\Inetpub\wwwroot) →「內容」→「安全性」頁籤
2. 點選「新增」→ 輸入 IUSR_<機器名> (或 Everyone 測試用) → 勾選「讀取」、「讀取與執行」、「列出資料夾內容」
3. 若使用應用程式池身份 (IIS 7+)，需授權 IIS_IUSRS 或對應 ApplicationPoolIdentity (虛擬帳號 IIS AppPool\<池名>)
4. 遞歸套用至子資料夾/檔案

根因二：Windows 防火牆 (SP2 新增) 封鎖入站 80 埠

XP SP2 預設開啟「Windows 防火牆」，阻擋所有未授權入站連線。IIS 安裝時**不會自動開放 80 埠例外**。

修復步驟

1. 「控制台」→「Windows 防火牆」→「例外狀況」頁籤
2. 勾選「網際網路資訊服務 (IIS)」或手動「新增連接埠」：名稱 HTTP、埠號 80、協定 TCP
3. 確認「僅允許來自本機子網」或「任何電腦」視需求勾選
4. 或暫時關閉防火牆驗證 (僅測試用，生產嚴禁)

進階排查：若上述均正常仍失敗

1. IP 安全性限制： IIS 管理器 → 網站 → 「內容」→「目錄安全性」→「IP 位址和網域名稱限制」→ 確認未勾選「拒絕存取」或錯誤允許清單
2. 認證方式衝突： 匿名存取 + 整合式 Windows 驗證 同時啟用時，IP 存取可能觸發 NTLM 挑戰，瀏覽器彈窗或自動 401。建議純靜態測試頁僅啟用匿名。
3. 綁定配置： 網站 → 「內容」→「網站」→「IP 位址」下拉選單確認綁定「所有未指派」或具體本機 IP，埠號 80。
4. 應用程式池身份 (IIS 6.0 工作程序隔離模式)： 確認池身份帳號有效、密碼正確、具備「作為批次工作登入」使用者權限 (secpol.msc → 本地原則 → 使用者權利指派)。

驗證清單

• [ ] NTFS 權限授予 IUSR/IIS_IUSRS/ApplicationPoolIdentity
• [ ] 防火牆入站規則開放 TCP 80 (及 443)
• [ ] IIS IP 限制未誤封
• [ ] 網站綁定 IP:Port 正確
• [ ] 匿名驗證啟用、實體路徑正確
• [ ] 瀏覽器清除快取/嘗試無痕模式訪問 https:///

「localhost 通、IP 不通」90% 是權限或防火牆。養成「先查 ACL、再查防火牆、最後查 IIS 設定」的三步排查肌肉記憶，秒級定位，分級解決。