本地 NTLM 代理助手：客户端访问与上游登录

你的应用程序连接到本机上的一个代理。然后由该助手向公司代理完成认证。应用程序本身不一定在执行公司的认证交换。

application → local helper → company proxy → destination

像 CNTLM 这样的助手有上游账号和代理配置。它的本地监听器有独立的可达性与访问边界。针对其他端点输入的浏览器密码不会自动配置其中任何一项。

先确定是哪一跳失败

先确认应用程序选对了助手实际的监听器和协议。在到达该监听器之前出现的错误不是 NTLM 故障。然后再检查助手是否到达了所配置的父级，以及父级是否接受了它的身份。

沿此路径返回的 407 需要归因。把本地事务与助手脱敏后的诊断信息对照，而不是假设可见的状态就指明了应用程序应当发送的账号。

旧示例有时会加上 keep-alive 头并报告成功。持久连接对面向连接的认证可能有影响，但该观察并不能证明每个失败的助手配置都需要同一个头。端点选择、受支持的方法、账号和连接寿命仍然是彼此独立的输入。

监听器是一个真实服务

回环地址让监听器不暴露在周边网络上；但它并不区分该计算机上的所有进程或用户。网关或更宽的绑定会改变可能使用助手上游身份的调用方集合。请有意为之。

当应用程序无法完成所需方案时，使用经过批准的助手安排。有用的结果是路径已知、账号归属已知，而不是一个恰好让某次下载成功的、来历不明的额外服务。