Kestrel托管ASP.Net 8 Web API出现HTTPS连接断开问题寻求排查建议

问题现象 #

• 浏览器访问报错：ERR_CONNECTION_CLOSED
• Fiddler Classic捕获到握手失败：

HTTPS handshake to myserver.mydomain.com (for #82) failed. System.IO.IOException Authentication failed because the remote party has closed the transport stream.

环境与已做配置 #

基础环境 #

• 操作系统：Windows Server 2019（不支持TLS 1.3）
• 服务类型：ASP.Net 8 Web API，通过Kestrel托管为Windows服务（未使用IIS）
• 端口：8000，已配置防火墙允许该端口流量
• HTTP协议下该端口服务可正常访问

已完成配置 #

1. TLS 1.2注册表配置：
   路径Computer\HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.2下的Client和Server键，设置Enabled=1、DisabledByDefault=0
2. Kestrel HTTPS绑定代码：

options.ConfigureHttpsDefaults(httpsOptions =>
  {
    httpsOptions.SslProtocols = SslProtocols.Tls12;
    httpsOptions.ServerCertificate = cert;
  });

3. 证书信息：证书Subject Alternative Name包含DNS Name=mydomain.myserver.com，证书有效未过期
4. 服务日志：显示Now listening on: https://[::]:8000（预期显示https://myserver.mydomain.com:8000）

排查建议 #

• 证书域名匹配检查：确认访问的myserver.mydomain.com与证书SAN中的mydomain.myserver.com是否完全一致（注意域名顺序差异，可能是配置时的输入错误）
• Kestrel监听地址调整：日志显示监听IPv6任意地址[::]:8000，若服务器未启用IPv6或客户端仅使用IPv4访问，可能导致解析异常。可显式指定监听地址，示例配置：

builder.WebHost.ConfigureKestrel(options =>
{
    // 监听所有IP的8000端口
    options.ListenAnyIP(8000, listenOptions =>
    {
        listenOptions.UseHttps(httpsOptions =>
        {
            httpsOptions.SslProtocols = SslProtocols.Tls12;
            httpsOptions.ServerCertificate = cert;
        });
    });
});

• SCHANNEL配置生效验证：修改注册表后需重启服务器或服务，确保TLS 1.2配置生效。可使用openssl s_client -connect myserver.mydomain.com:8000 -tls1_2命令测试TLS 1.2握手状态（Windows需提前安装OpenSSL工具）
• 证书私钥权限配置：确认Kestrel服务运行账号拥有证书私钥的读取权限。操作路径：MMC证书管理单元→找到目标证书→右键「所有任务」→「管理私钥」→添加服务账号并赋予读取权限
• 提升Kestrel日志级别：增加握手阶段的详细日志输出，定位具体错误。在appsettings.json中添加配置：

{
  "Logging": {
    "LogLevel": {
      "Microsoft.AspNetCore.Server.Kestrel": "Debug",
      "Microsoft.AspNetCore.Server.Kestrel.Https": "Debug"
    }
  }
}

• 防火墙深度排查：除端口放行规则外，检查是否有IDS/IPS或防火墙规则拦截TLS握手数据包，可临时关闭防火墙测试是否恢复正常
• 客户端TLS兼容性验证：确认客户端浏览器/工具支持TLS 1.2，关闭TLS 1.0/1.1后测试握手是否正常

内容的提问来源于stack exchange，提问作者EdH