配置IIS HTTPS绑定与独立mTLS Kestrel端口，避免IIS覆盖端口

一、确保Kestrel绑定指定端口（9001）不被IIS覆盖 #

进程外模式下，IIS的AspNetCoreModuleV2默认会为Kestrel分配随机本地端口，要强制Kestrel使用你配置的端口，需确保以下几点：

1. 正确配置PreferHostingUrls #

在Program.cs中，需在配置Kestrel端点之前设置PreferHostingUrls为false，避免IIS覆盖配置：

var builder = WebApplication.CreateBuilder(args);

// 禁用托管服务（IIS）覆盖Kestrel的URL配置
builder.WebHost.UseSetting(WebHostDefaults.PreferHostingUrlsKey, "false");

// 配置Kestrel的mTLS端点（9001）
builder.WebHost.ConfigureKestrel(serverOptions =>
{
    serverOptions.ListenAnyIP(9001, listenOptions =>
    {
        listenOptions.UseHttps(httpsOptions =>
        {
            // 强制要求客户端证书（双向TLS）
            httpsOptions.ClientCertificateMode = ClientCertificateMode.RequireCertificate;
            
            // 自定义证书验证逻辑（根据你的信任策略调整）
            httpsOptions.ClientCertificateValidation = (certificate, chain, sslPolicyErrors) =>
            {
                // 示例：仅允许无错误且来自指定CA的证书
                return sslPolicyErrors == System.Net.Security.SslPolicyErrors.None 
                       && chain.ChainElements.Any(elem => elem.Certificate.Issuer == "CN=Your-Trusted-CA");
            };
            
            // 设置Kestrel的服务器证书
            httpsOptions.ServerCertificate = new X509Certificate2("path/to/your-server-cert.pfx", "cert-password");
        });
    });

    // 可选：配置Kestrel的常规端点（用于处理非API流量，比如9002）
    serverOptions.ListenAnyIP(9002, listenOptions =>
    {
        listenOptions.UseHttps("path/to/your-server-cert.pfx", "cert-password");
    });
});

// 后续的服务配置、中间件注册等
var app = builder.Build();
// ...

2. 验证web.config的环境变量设置 #

确保web.config中的ASPNETCORE_PREFERHOSTINGURLS已正确设置，且没有额外的端口强制配置：

<configuration>
  <location path="." inheritInChildApplications="false">
    <system.webServer>
      <aspNetCore processPath="dotnet" arguments=".\YourApp.dll" stdoutLogEnabled="false" stdoutLogFile=".\logs\stdout" hostingModel="OutOfProcess">
        <environmentVariables>
          <environmentVariable name="ASPNETCORE_PREFERHOSTINGURLS" value="false" />
          <!-- 不要设置ASPNETCORE_URLS，否则会覆盖Kestrel配置 -->
        </environmentVariables>
      </aspNetCore>
    </system.webServer>
  </location>
</configuration>

3. 用appsettings.json补充配置（可选） #

也可以通过配置文件定义Kestrel端点，和代码配置互补：

{
  "Kestrel": {
    "Endpoints": {
      "MtlsApi": {
        "Url": "https://*:9001",
        "Protocols": "Http1AndHttp2",
        "SslProtocols": "Tls12,Tls13",
        "ClientCertificateMode": "RequireCertificate"
      },
      "RegularTraffic": {
        "Url": "https://*:9002",
        "Protocols": "Http1AndHttp2"
      }
    }
  }
}

完成以上配置后，Kestrel将同时监听9001（mTLS）和9002（常规HTTPS）端口，不会被IIS强制分配随机端口。

二、通过IIS实现流量拆分 #

要让IIS管理9000端口的HTTPS，并将/api路径转发到Kestrel的9001端口，需使用IIS的URL重写模块和应用请求路由（ARR）：

1. 准备工作 #

• 安装IIS的URL重写模块和ARR模块（通过Web平台安装器或服务器管理器）。
• 启用ARR的反向代理功能：打开IIS管理器 → 服务器节点 → 应用请求路由 → 服务器代理设置 → 勾选“启用代理”。

2. 配置IIS网站绑定 #

在IIS中创建或修改网站，添加HTTPS绑定到9000端口，使用你的服务器证书（用于常规流量的HTTPS终止）。

3. 添加URL重写规则 #

在网站的web.config中添加重写规则，实现流量拆分：

<configuration>
  <system.webServer>
    <rewrite>
      <rules>
        <!-- 转发/api路径到Kestrel的mTLS端口（9001） -->
        <rule name="Forward API to mTLS Kestrel" stopProcessing="true">
          <match url="^api/(.*)" />
          <action type="Rewrite" url="https://localhost:9001/api/{R:1}" />
          <serverVariables>
            <!-- 将IIS接收的客户端证书传递给Kestrel（如果需要Kestrel验证证书） -->
            <set name="HTTP_X_CLIENT_CERTIFICATE" value="{CERTIFICATE}" />
          </serverVariables>
        </rule>
        
        <!-- 转发其他路径到Kestrel的常规端口（9002） -->
        <rule name="Forward Regular Traffic to Kestrel" stopProcessing="true">
          <match url="(.*)" />
          <action type="Rewrite" url="https://localhost:9002/{R:1}" />
        </rule>
      </rules>
    </rewrite>
  </system.webServer>
</configuration>

4. 证书传递的补充说明 #

如果需要让Kestrel直接验证客户端证书，除了在重写规则中传递HTTP_X_CLIENT_CERTIFICATE header外，还需在Kestrel的API端点中读取该header并验证：

app.MapGet("/api/secure", (HttpRequest req) =>
{
    var certHeader = req.Headers["X-Client-Certificate"].FirstOrDefault();
    if (string.IsNullOrEmpty(certHeader))
    {
        return Results.Unauthorized();
    }
    
    // 将Base64编码的证书转换为X509Certificate2
    var certBytes = Convert.FromBase64String(certHeader);
    var clientCert = new X509Certificate2(certBytes);
    
    // 执行证书验证逻辑
    if (!IsValidClientCertificate(clientCert))
    {
        return Results.Forbid();
    }
    
    return Results.Ok("Authenticated via mTLS");
});

内容的提问来源于stack exchange，提问作者Mselmi Ali