.net - Windows 客户端损坏授权 header (Kerberos) => IIS 400(错误请求)

Question

我们在大约 5% 的 Windows(7 Pro 和 XP Pro，32 位和 64 位)客户端计算机上遇到了奇怪的行为。这些计算机从 IIS 服务器随机获取错误 - 400 错误请求。我们正在使用 Windows 域，这些客户端正在尝试通过 Kerberos 向 IIS 授权。

症状:

• 客户端尝试通过 Internet Explorer 连接到需要身份验证 (Kerberos) 的站点的 IIS 服务器。
• IIS 服务器返回错误 400 Bad Request。
• 错误不会消失，直到客户端计算机“愉快地重新启动”。我们没有找到其他方法来“修复”这种状态。愉快地重新启动意味着您可以重新启动不止一次。有时它有时不工作。如果它能工作，它将安全地工作直到下次重启。如果它不能安全地工作，直到下次重新启动。 :)

我们所知道的

• 我们正在使用更多组。所以我们的用户通常有更大的 Kerberos TGT。 MaxTokenSize 提高到 48000。

• 我们嗅探受影响客户端的网络流量，发现客户端发送损坏的授权 header 。带有 kerberos 授权 header 的部分被剪切 - 未正确结束。因此 IIS 服务器的响应是正确且合乎逻辑的。所以问题出在客户端。

• 我们试图在受影响的计算机上找到工作状态和错误状态之间的一些差异，但不幸的是。

• 我们的网络中有更多的 IIS 服务器。受影响的计算机在所有处于“错误状态”的计算机上都存在同样的问题。

• 希望我们的想法是正确的，Internet Explorer 正在使用 .NET Framework 进行 HTTP 请求和授权。所以可能是因为 .NET 的某个地方？所有客户端都在使用版本 4。

谁能帮我们解开这个谜团？ :)

Answer 1

已解决。 Eset NOD32 Antivirus 版本 4 正在修改某些计算机上的 HTML 授权 header 。禁用Web 访问保护 后一切正常。