如何在IIS 7.5中正确配置ASP.NET应用程序？

IIS 7.5 作为 Windows Server 2008 R2 的核心 Web 服务器组件，以其模块化的架构和强大的管理功能，为 ASP.NET 应用程序提供了稳定而高效的运行环境，正确配置 IIS 7.5 以托管 ASP.NET 应用，是确保网站性能、安全性和可靠性的基石，本文将系统性地介绍 IIS 7.5 上配置 ASP.NET 应用的关键步骤与核心概念。

基础安装与功能启用

在部署 ASP.NET 应用之前，首要任务是确保服务器上已正确安装 IIS 7.5 及其所需的 ASP.NET 功能模块，这可以通过“服务器管理器”中的“添加角色”或“打开或关闭 Windows 功能”来完成，一个典型的 ASP.NET 托管环境至少需要包含以下功能：

安装时，务必勾选与目标 ASP.NET 应用程序框架版本相匹配的 ASP.NET 选项，一个基于 .NET Framework 4.0 的应用需要安装 ASP.NET 4.5（在 Server 2008 R2 上可通过安装框架4.5/4.6/4.8获得）。

创建网站与配置应用程序池

安装完成后，接下来的核心步骤是创建网站并为其配置恰当的应用程序池，应用程序池是 IIS 中一个工作进程（w3wp.exe）的隔离边界，不同的应用可以运行在不同的应用程序池中,互不影响。

在 IIS 管理器中右键点击“网站”，选择“添加网站”，指定网站名称、物理路径（指向应用程序的根目录，如 C:inetpubmysite）和绑定的端口（如 80 端口）。

网站创建后，需要为其关联或配置应用程序池，可以在“应用程序池”列表中新建一个池，或使用默认池,配置应用程序池有两个至关重要的设置：

1. .NET Framework 版本：此设置必须与 ASP.NET 应用程序的目标框架版本完全一致，若应用程序编译自 .NET Framework 4.7.2，此处应选择“.NET Framework v4.0.30319”，版本不匹配是导致“500.19 – 内部服务器错误”或“500.21 – 内部服务器错误”的常见原因。
2. 托管管道模式：IIS 7.5 引入了两种模式：集成模式和经典模式。
   • 集成模式：是推荐模式，它将 ASP.NET 的请求处理管道与 IIS 的核心管道紧密集成，允许所有请求（包括静态资源如 .html, .jpg）都经过 ASP.NET 的模块和处理程序，这提供了更好的性能、更灵活的配置（如可在 web.config 中配置所有模块）和统一的身份验证体验。
   • 经典模式：为了向后兼容旧版 IIS（如 IIS 6.0）而保留，在此模式下，ASP.NET 请求作为一个独立的插件（ISAPI）处理，仅处理特定映射（如 .aspx, .asmx）的请求，除非应用依赖于在旧模式下才能正常工作的特定组件,否则应始终选择集成模式。

核心配置文件：web.config 详解

web.config 文件是 ASP.NET 应用程序的灵魂，它控制着应用从运行行为到安全策略的方方面面，IIS 7.5 会深度读取此文件中的配置节。

• <connectionStrings>：集中管理数据库连接字符串，建议将敏感信息（如密码）进行加密。
• <system.web>：这是传统的 ASP.NET 配置节。
  • <compilation debug="false" />：在生产环境中，必须将 debug 设置为 false，开启调试模式会严重影响性能,并可能暴露敏感的堆栈跟踪信息。
  • <authentication mode="Forms" />：配置身份验证模式，如 Windows、Forms（表单）或 None，Forms 模式是自定义登录页面的常用选择。
  • <customErrors mode="RemoteOnly" />：自定义错误页面。RemoteOnly 模式对本地用户显示详细错误（便于调试），对远程用户显示友好错误页面,兼顾了开发便利性和线上安全性。
  • <authorization>：基于角色或用户名进行访问控制，如 <allow users="*" /> 允许所有用户，<deny users="?" /> 拒绝匿名用户。
• <system.webServer>：这是 IIS 7 及以上版本特有的配置节，用于控制 IIS 核心功能。
  • <modules> 和 <handlers>：在集成模式下，可以在这里添加、移除或配置 IIS 模块和处理程序，实现了对整个请求管道的精细控制,可以移除不必要的模块以减少攻击面。

权限与安全性

权限配置是部署中最容易被忽视却又至关重要的一环，IIS 工作进程需要一个特定的身份来访问网站文件夹和文件。

1. 应用程序池标识：从 IIS 7.5 开始，默认使用“ApplicationPoolIdentity”作为应用程序池的标识，这是一个虚拟账户，具有最低权限,安全性高。
2. 文件夹权限：需要为网站根目录授予“ApplicationPoolIdentity”账户（或指定的自定义账户）适当的权限，需要“读取与执行”、“列出文件夹内容”和“读取”权限，如果应用需要上传文件或写入日志，还需授予特定文件夹（如 /Uploads, /Logs）“写入”权限，切勿直接给“Everyone”或“Users”组过高的权限。

调试与故障排除

当应用出现问题时，IIS 7.5 提供了强大的“失败请求跟踪”功能，可以在网站或应用程序的“功能视图”中双击“失败请求跟踪”进行配置，你可以设置跟踪特定状态码（如 500）的请求，或特定 URL 的请求，启用后，IIS 会生成详细的日志文件，记录请求从进入 IIS 到结束的每一个步骤，包括每个模块所花费的时间和返回的状态,是诊断复杂问题的终极利器。

相关问答FAQs

问题1：我的 ASP.NET 网站部署到 IIS 7.5 后，访问时只显示 “500 – 内部服务器错误”，我该如何排查？

解答： “500 错误”是一个通用错误，表示服务器端发生了意外情况,排查步骤如下：

1. 启用详细错误信息：在 IIS 管理器中，选择你的网站，双击“错误页”功能，在右侧操作栏点击“编辑功能设置”，将“详细错误”选项选为“本地”或“自定义错误”并指向一个详细错误页面,这样可以在浏览器中看到具体的错误原因。
2. 检查 web.config 语法：web.config 文件中的 XML 语法错误、拼写错误或无效的配置节是导致 500 错误的常见原因，可以使用 XML 验证工具检查其语法。
3. 检查应用程序池配置：确认应用程序池的 .NET Framework 版本与应用程序匹配,并且托管管道模式设置正确。
4. 检查文件夹权限：确保应用程序池标识（如 IIS AppPoolYourAppPoolName）对网站文件夹有足够的读取和执行权限。
5. 启用失败请求跟踪：如果以上方法都无法解决问题，启用失败请求跟踪，跟踪状态码为 500 的请求，生成的日志文件会提供最详细的诊断信息,精确定位到是哪个模块或处理程序出了问题。

问题2：IIS 7.5 应用程序池的“集成模式”和“经典模式”有什么根本区别？我应该选择哪一个？

解答： 根本区别在于 ASP.NET 请求处理管道与 IIS 核心请求管道的集成方式。

• 经典模式：模拟 IIS 6.0 的工作方式，IIS 先处理请求，当遇到映射到 ASP.NET ISAPI 扩展的资源（如 .aspx）时，才将请求交给 ASP.NET 运行时处理，这意味着 IIS 的身份验证等模块先于 ASP.NET 模块执行,两者是分离的。
• 集成模式：将 ASP.NET 管道完全集成到 IIS 管道中，所有请求，无论是静态文件还是动态页面，都经过一个统一的、由 IIS 和 ASP.NET 模块共同组成的处理管道，这允许 ASP.NET 模块（如 Forms 身份验证）处理所有类型的请求，提供了更强大、更一致的控制能力。

选择建议：对于所有新开发的 ASP.NET 应用程序，强烈推荐使用“集成模式”，它提供了更好的性能、更灵活的配置和更统一的安全模型，只有当你的应用程序依赖于某些在 IIS 6.0 环境下开发的、与经典模式管道紧密耦合的旧组件，且无法在集成模式下正常工作时，才应考虑使用“经典模式”作为临时解决方案。