Docker部署ASP.NET Core 8+SignalR应用TLS握手失败问题求助

问题概述 #

ASP.NET Core 8应用（含SignalR和API端点）在Visual Studio本地HTTPS（5001端口）运行正常，但Docker容器化后，Postman调用API（https://localhost:5001/api/hello）和SignalR Hub（wss://localhost:5001/notificationHub）均报Error: Client network socket disconnected before secure TLS connection was established，已禁用Postman SSL验证，容器日志显示HTTPS绑定成功。

核心原因分析与修复方案 #

1. Kestrel绑定配置冲突（最可能原因） #

Program.cs中硬编码了ListenLocalhost(5001)，这会让Kestrel仅监听容器内部的127.0.0.1回环地址，宿主机的localhost无法访问容器内的服务。而Dockerfile中设置的ASPNETCORE_URLS=https://+:5001期望服务监听所有网卡。

修复：
修改Program.cs的Kestrel配置，将ListenLocalhost替换为ListenAnyIP，允许容器外部访问：

builder.WebHost.ConfigureKestrel(options =>
{
    options.ListenAnyIP(5001, listenOptions =>
    {
        listenOptions.UseHttps("localhost.pfx", "wejo2025");
        listenOptions.Protocols = Microsoft.AspNetCore.Server.Kestrel.Core.HttpProtocols.Http1AndHttp2;
    });
});

或者直接移除硬编码的ConfigureKestrel配置，完全依赖Dockerfile中的环境变量配置，避免冲突。

2. 容器内证书权限不足 #

Dockerfile的base镜像使用了USER $APP_UID运行应用，可能导致应用没有读取localhost.pfx证书的权限，引发TLS握手失败。

修复：
在Dockerfile的final阶段添加证书权限设置：

FROM base AS final
WORKDIR /app
COPY --from=publish /app/publish .
COPY Wejo.Realtime.API/appsettings.json /app/appsettings.json
COPY Wejo.Realtime.API/localhost.pfx /app/localhost.pfx
# 给证书文件添加读取权限
RUN chmod 644 /app/localhost.pfx
ENV ASPNETCORE_URLS=https://+:5001
ENV ASPNETCORE_Kestrel__Certificates__Default__Path=/app/localhost.pfx
ENV ASPNETCORE_Kestrel__Certificates__Default__Password=wejo2025
ENTRYPOINT ["dotnet", "Wejo.Realtime.API.dll"]

3. Docker端口映射缺失 #

启动容器时未正确映射宿主机5001端口到容器5001端口，导致宿主机请求无法到达容器内的服务。

修复：
启动容器时添加端口映射参数：

docker run -p 5001:5001 <your-image-tag>

4. 证书SAN（主题备用名称）配置问题 #

虽然生成了自签名证书，但如果证书的SAN字段未包含localhost，部分客户端（即使禁用SSL验证）仍可能中断TLS握手。

验证与修复：
在容器内执行以下命令检查证书SAN：

openssl pkcs12 -info -in /app/localhost.pfx -password pass:wejo2025 | grep -A 10 "Subject Alternative Name"

如果没有SAN字段，重新用openssl生成包含SAN的证书：

openssl req -x509 -newkey rsa:4096 -sha256 -days 365 -nodes \
  -keyout localhost.key -out localhost.crt -subj "/CN=localhost" \
  -addext "subjectAltName=DNS:localhost" \
  -addext "keyUsage=digitalSignature,keyEncipherment" \
  -addext "extendedKeyUsage=serverAuth"

# 转换为pfx格式
openssl pkcs12 -export -out localhost.pfx -inkey localhost.key -in localhost.crt -password pass:wejo2025

调试步骤 #

1. 验证容器内部服务可用性：进入容器内部，直接访问服务确认是否正常：

   docker exec -it <container-id> curl -k https://localhost:5001/api/hello
   

   如果返回Hello World，说明容器内部服务正常，问题出在网络映射或Kestrel绑定。

2. 检查容器端口监听状态：确认Kestrel是否监听所有网卡：

   docker exec -it <container-id> netstat -tulpn
   

   正常应显示0.0.0.0:5001监听，而非127.0.0.1:5001。

3. 检查证书加载情况：验证证书是否能被正确读取：

   docker exec -it <container-id> dotnet dev-certs https --check --verbose
   

内容的提问来源于stack exchange，提问作者John