Solución de errores de HTTP 401 en IIS

Introducción

Hola a todos. Me llamo Lou Prete. He sido compatible con Microsoft Servicios de Internet Information Server (IIS) para los últimos cinco años y han sido IIS responsable de contenido para los dos últimos años.

HTTP 401 errores se encuentran entre el errores más comunes que puede que tenga que tratar en IIS. Mientras que las causas para estos los errores pueden variar en gran medida, las causas se dividen en un número finito de categorías. Puede identificar correctamente la categoría de la causa de su error HTTP 401 reducir la cantidad de tiempo necesario para identificar la causa raíz de la error.

Una gran herramienta para resolver estos problemas es la autenticación y diagnóstico de Control de acceso o AuthDiag. Puede descargar esta herramienta desde el siguiente sitio Web del centro de descarga de Microsoft:Esta herramienta también forma parte de IIS Diagnostics Toolkit puede descargar desde el siguiente sitio Web del centro de descarga de Microsoft: En casi todas las situaciones descritas en esta columna, puede AuthDiag proporcionar respuestas rápidas al error HTTP 401 a mano.

En esta columna, me detalla un enfoque eficaz para identificar y corregir los comunes problemas que conducen a los errores de HTTP 401. Que haremos será señalar un número de Artículos de Microsoft Knowledge Base que le sea útiles y una serie de herramientas que le ayudará a lo largo de su camino.

Pasos para solucionar problemas

Identificar el código de subestado del error 401 de HTTP

Hay dos formas comunes para identificar el código de estado:

• A partir de IIS 6.0, el código de subestado se registra en el Registros Web. Los registros Web se encuentran en la siguiente ubicación:
  %SYSTEMROOT%\System32\LogFiles\W3SVC###\
  En los registros Web, representan los tres últimos números en cada entrada el estado, el subestado y el estado de Win32.

  #Fields: date time s-sitename s-ip cs-method cs-uri-stem cs-uri-query s-port cs-username c-ip cs(User-Agent) sc-status sc-Sub-status sc-win32-status
  2006-03-06 20:37:42 W3SVC1 192.168.1.101 GET /default.aspx - 80 - 192.168.17.45 Mozilla/4.0+(compatible;+MSIE+6.0;+Windows+NT+5.1;+SV1;+.NET+CLR+1.1.4322;+.NET+CLR+2.0.50727;+InfoPath.1) 401 2 2148074254
  2006-03-06 20:37:42 W3SVC1 192.168.1.101 GET /default.aspx - 80 - 192.168.17.45 Mozilla/4.0+(compatible;+MSIE+6.0;+Windows+NT+5.1;+SV1;+.NET+CLR+1.1.4322;+.NET+CLR+2.0.50727;+InfoPath.1) 401 1 0
  2006-03-06 20:38:36 W3SVC1 192.168.1.101 GET /default.aspx - 80 DOMAIN\user 192.168.17.45 Mozilla/4.0+(compatible;+MSIE+6.0;+Windows+NT+5.1;+SV1;+.NET+CLR+1.1.4322;+.NET+CLR+2.0.50727;+InfoPath.1) 200 0 0

• En versiones anteriores a IIS 6.0, el código de subestado de IIS no se registran en los registros de los Web. En estos casos (o en casos donde no dispone de acceso a los registros de Web), puede utilizar la información enviada al explorador. En Microsoft Internet Explorer, tendrá que deshabilitar la Mostrar Mensajes de HTTP Error descriptivos Si se establece. Con este cambio, debe ver una página de error similar al siguiente. En este caso, tenemos un 401.2 HTTP error y la página incluso ofrece una breve descripción del significado del error significa:
  No está autorizado para ver esta página
  
  No tiene permiso para ver este directorio o esta página mediante las credenciales proporcionadas porque su explorador Web está enviando un Campo de encabezado WWW-Authenticate que el servidor Web no está configurado para Aceptar.
  
  Por favor, intente lo siguiente:
  Póngase en contacto con el sitio Web administrador si usted cree que debería poder ver este directorio o página.
  Haga clic en el botón Actualizar para volver a intentarlo con diferentes credenciales.
  
  HTTP Error 401.2 - no autorizado: Acceso denegado debido a configuración del servidor. Servicios de Internet Information Server (IIS)
  
  Técnica Información (para el personal de soporte técnico)
  Vaya al soporte técnico de Microsoft Servicios y realizar una búsqueda de título para las palabras HTTP y 401.
  IIS abierto Ayuda, que es accesible en el Administrador de IIS (inetmgr) y busque los temas Acerca de la seguridad, la autenticación y sobre el Error personalizado titulado Mensajes.

Nota También puede utilizar herramientas como WFetch y Monitor de red, para recopilar los códigos de subestado. Para obtener más información acerca de estos herramientas, haga clic en los números de artículo siguientes para verlos en el Microsoft Knowledge Base:

Basar la solución de problemas en el código de subestado

Una vez que conoce el código de estado HTTP, se centran en problemas relacionados con la ese subestado particular. El resto pueden omitirse.

HTTP 401.1: Denegado por credenciales de usuario no válido

Descripción

IIS no se pudo conectar a un usuario para ejecutar la petición. Todos los las solicitudes deben estar asociadas con un usuario, incluso si la solicitud es anónimo.

Razones comunes

• Se proporciona el nombre de usuario incorrecto o la contraseña. Identificar el usuario que no se pudo iniciar sesión y corregir el nombre de usuario o contraseña.
• Se produce un error en la autenticación Kerberos. Para obtener más información, haga clic en el número de artículo siguiente para verlo en Microsoft Knowledge Base:
  326985

  (http://support.microsoft.com/kb/326985/ )

  Cómo solucionar problemas de Kerberos en IIS
  Otros artículos útiles de Kerberos son como a continuación:
  871179

  (http://support.microsoft.com/kb/871179/ )

  Recibe un "HTTP Error 401.1 - No autorizado: acceso denegado debido a credenciales no válidas "cuando el mensaje de error intenta obtener acceso a un sitio Web que forma parte de un grupo de aplicaciones de IIS 6.0
  Configurar la identidad del grupo de aplicaciones con IIS 6.0 (IIS 6.0)
  http://www.Microsoft.com/technet/prodtechnol/WindowsServer2003/Library/IIS/f05a7c2b-36b0-4b6e-ac7c-662700081f25.mspx

  (http://www.microsoft.com/technet/prodtechnol/WindowsServer2003/Library/IIS/f05a7c2b-36b0-4b6e-ac7c-662700081f25.mspx)

  
  
  Autenticación integrada de Windows (Server IIS 6.0)
  http://www.Microsoft.com/technet/prodtechnol/WindowsServer2003/Library/IIS/523ae943-5e6a-4200-9103-9808baa00157.mspx

  (http://www.microsoft.com/technet/prodtechnol/WindowsServer2003/Library/IIS/523ae943-5e6a-4200-9103-9808baa00157.mspx)

  
  
  Configurar la delegación restringida de Kerberos (IIS 6.0)
  http://www.Microsoft.com/technet/prodtechnol/WindowsServer2003/Library/IIS/df979570-81f6-4586-83c6-676bb005b13e.mspx

  (http://www.microsoft.com/technet/prodtechnol/WindowsServer2003/Library/IIS/df979570-81f6-4586-83c6-676bb005b13e.mspx)
• Asignación de derechos de la directiva local o de dominio o el usuario impide que los usuarios tengan acceso al servidor. Si el servidor está configurado para errores de inicio de sesión, puede haber información adicional en el registro de seguridad. Consulte los siguientes artículos de los derechos de usuario necesarios:
  812614

  (http://support.microsoft.com/kb/812614/ )

  De forma predeterminada los permisos y derechos de usuario para IIS 6.0
  271071

  (http://support.microsoft.com/kb/271071/ )

  Cómo establecer derechos de usuario y permisos NTFS requeridos para un servidor Web de IIS 5.0
  832981

  (http://support.microsoft.com/kb/832981/ )

  Los usuarios no pueden tener acceso a sitios Web cuando se llena el registro de sucesos de seguridad
  300549

  (http://support.microsoft.com/kb/300549/ )

  Cómo habilitar y aplicar la auditoría de seguridad en Windows 2000
• Este error también puede producirse cuando el acceso anónimo es configurado. Esto puede ocurrir si el nombre de usuario o la contraseña para el anónimo cuenta que se almacena en la metabase de IIS es distinta de la información real almacenados en la base de datos de usuario local (o en el servicio de directorio de Active Directory Si se utiliza una cuenta de dominio). Al restablecer la contraseña de la cuenta y en IIS resuelve este problema.
• Después de actualizar un servidor que ejecuta IIS 5.0 a 6.0 de IIS, IIS se ejecuta en modo de compatibilidad de IIS 5.0. Una vez que el servidor esté en IIS el modo de aislamiento 6.0, pueden producirse errores de HTTP 401.1 en las solicitudes anónimas. Esto se produce debido a la sincronización de contraseña anónima de IIS 5.0. Para resolver este problema problema, establezca la clave de metabase AnonymousPasswordSync en falsey restablecer la contraseña del usuario anónimo para la cuenta y en IIS.
• Para obtener más información obtener información acerca de este error, haga clic en los números de artículo siguiente para ver el artículos en Microsoft Knowledge Base:
  896861

  (http://support.microsoft.com/kb/896861/ )

  Recibe un error 401.1 cuando explora un sitio Web que utiliza la autenticación integrada y está alojado en IIS 5.1 o IIS 6
  304201

  (http://support.microsoft.com/kb/304201/ )

  No se servicios de acceso no puede iniciar IIS o sitio Web que se ejecutan bajo la cuenta del sistema no es local y utilizar autenticación de Windows con IIS
  263140

  (http://support.microsoft.com/kb/263140/ )

  Se produce un error en la autenticación anónima y básica cuando se conecta a IIS 5.0 en un controlador de dominio

HTTP 401.2: Denegado por la configuración del servidor

Descripción

El explorador del cliente e IIS no se ponen de acuerdo en un Protocolo de autenticación.

Razones comunes

• No es de ningún protocolo de autenticación (incluyendo anónimo) seleccionado en IIS. Debe seleccionar al menos un tipo de autenticación. Para obtener más información, haga clic en el siguiente artículo número para ver el artículo en Microsoft Knowledge Base:
  253667

  (http://support.microsoft.com/kb/253667/ )

  Mensaje de error: HTTP 401.2 - no autorizado: error al iniciar sesión debido a la configuración del servidor sin autenticación
• Sólo la autenticación integrada está habilitada y mayores, explorador del cliente no son de Internet Explorer intenta tener acceso al sitio. En este caso Dado que el explorador del cliente no puede realizar la autenticación integrada. Para resolver Este problema, utilice uno de los métodos siguientes:
  • Configurar IIS para aceptar la autenticación básica. Esto sólo debe producirse sobre SSL por motivos de seguridad.
  • Utilice un explorador del cliente que puede llevar a cabo integrado autenticación. Internet Explorer y las nuevas versiones de Netscape Navigator y Mozilla Firefox puede realizar la autenticación integrada.
• La autenticación integrada es a través de un servidor proxy. En este caso Dado que el servidor proxy no mantiene la conexión autenticada NTLM y, por tanto, envía una solicitud anónima desde el cliente al servidor. Opciones para resolver Este problema son los siguientes:
  • Configurar IIS para aceptar la autenticación básica. Esto sólo debe producirse sobre SSL por motivos de seguridad.
  • No utilice a un servidor proxy.

HTTP 401.3: Denegado por ACL de recursos

Descripción

Este error se devuelve cuando el usuario correctamente autenticado en el servidor, pero el usuario no tiene permisos de NTFS para el contenido solicitado.

Soluciones comunes

• Establezca los permisos NTFS correctamente en el contenido. Revisión la sección "Permisos de NTFS" en los siguientes artículos:
  812614

  (http://support.microsoft.com/kb/812614/ )

  De forma predeterminada los permisos y derechos de usuario para IIS 6.0
  271071

  (http://support.microsoft.com/kb/271071/ )

  Cómo establecer derechos de usuario y permisos NTFS requeridos para un servidor Web de IIS 5.0
• Compruebe que se establece el método de autenticación correctos. Para ejemplo, cuando se utiliza la autenticación integrada, los usuarios no se le pida credenciales de autenticación. En este caso, puede no quedar claro si la solicitud se autentica o no.
• Si el contenido se encuentra en un recurso compartido remoto, compruebe los usuarios tienen suficientes permisos de NTFS y el recurso compartido. Para obtener más información, Haga clic en el número de artículo siguiente para verlo en Microsoft Microsoft Knowledge Base:
  332142

  (http://support.microsoft.com/kb/332142/ )

  Las solicitudes NTLM para el contenido en el recurso compartido UNC pueden devolverse con mensajes de error 401

HTTP 401.4: Denegado por filtro ISAPI personalizado

Descripción

Un filtro ISAPI cargado ha rechazado la petición.

Solución

Identificar qué filtro ISAPI ha rechazado la petición, y Póngase en contacto con el desarrollador o el proveedor para determinar una solución.

HTTP 401.5: Denegado por aplicaciones Web ISAPI o CGI personalizadas

Descripción

Una extensión ISAPI o aplicación CGI ha denegado la solicitud.

Solución

Identificar en qué extensión ISAPI o CGI application denegado la solicitud y póngase en contacto con el desarrollador o el proveedor para determinar una solución.

Resumen

En resumen, para solucionar errores de HTTP 401, el primer paso siempre debe determinar el código de subestado.

• 401.1: Se ha intentado efectuar la autenticación, pero no se pudo.
• 401.2: No se ha intentado efectuar la autenticación porque el servidor y no puede negociar el cliente de un protocolo de autenticación.
• 401.3: Autenticación fue satisfactorio, pero la cuenta que autenticado no tiene permisos suficientes para tener acceso a la solicitada recurso o el contenido.
• 401.4: Un filtro ISAPI ha rechazado la petición.
• 401.5: Una extensión ISAPI o aplicación CGI ha denegado la solicitud.

Recursos y herramientas útiles

Herramientas de Microsoft

• Authentication and Access Control Diagnostics 1.0
  http://www.Microsoft.com/downloads/details.aspx?FamilyId=E90FE777-4A21-4066-bd22-b931f7572e9a&displaylang=en

  (http://www.microsoft.com/downloads/details.aspx?FamilyID=e90fe777-4a21-4066-bd22-b931f7572e9a&DisplayLang=en)
• Kit de herramientas de diagnóstico IIS
  http://www.Microsoft.com/downloads/details.aspx?FamilyID=9bfa49bc-376b-4a54-95aa-73c9156706e7&displaylang=en

  (http://www.microsoft.com/downloads/details.aspx?FamilyID=9bfa49bc-376b-4a54-95aa-73c9156706e7&DisplayLang=en)
• WFetch
  284285

  (http://support.microsoft.com/kb/284285/ )

  Cómo usar Wfetch.exe para solucionar problemas de conexiones HTTP
• Monitor de red
  148942

  (http://support.microsoft.com/kb/148942/ )

  Cómo capturar el tráfico de red con Monitor de red
• Registro de auditoría de seguridad
  300549

  (http://support.microsoft.com/kb/300549/ )

  Cómo habilitar y aplicar la auditoría de seguridad en Windows 2000

Herramientas de otros fabricantes

• FileMon
  http://technet.Microsoft.com/en-us/Sysinternals/bb896642.aspx

  (http://technet.microsoft.com/en-us/sysinternals/bb896642.aspx)
• Regmon
  http://technet.Microsoft.com/en-us/Sysinternals/bb963881.aspx

  (http://technet.microsoft.com/en-us/sysinternals/bb963881.aspx)

Hasta la próxima, le agradecemos su tiempo y le deseamos que tenga un excelente día. Como siempre, no dude en enviar ideas sobre temas que desee abordarse en próximas las columnas o en la Base de conocimientos mediante la Solicite .

Microsoft proporciona información de contacto de otros fabricantes para ayudarle a encontrar soporte técnico. Esta información de contacto puede cambiar sin previo aviso. Microsoft no garantiza la exactitud de este contacto de terceros información.

Los productos de terceros que analiza este artículo son fabricados por compañías independientes de Microsoft. Microsoft ha creado ningún garantía, implícita o de otro tipo, respecto al rendimiento o confiabilidad de la estos productos.