CentOS9 Stream上Nginx反向代理.NET 8 Web应用出现502错误求助

问题回顾 #

在Digital Ocean的CentOS 9 Stream云服务器部署Visual Studio生成的.NET 8 Web应用，搭配Nginx和Let's Encrypt证书后遇到一系列问题：

• 启动应用监听5000端口，但访问https://example.com返回502 Bad Gateway
• 应用控制台报Failed to determine the https port for redirect警告
• 解决Nginx权限问题后仍连接被拒，后续调整配置又出现证书不信任、SSL握手错误、301/404，无法访问Swagger UI

分步解决方案 #

1. 修正Kestrel与HTTPS重定向配置 #

.NET应用只负责处理本地HTTP请求，HTTPS交给Nginx处理，避免证书和端口冲突：

• 修改appsettings.json，指定Kestrel监听本地HTTP端口：

"Kestrel": {
  "Endpoints": {
    "Http": {
      "Url": "http://127.0.0.1:5000"
    }
  }
}

• 在Program.cs中明确HTTPS重定向的外部端口（Nginx用的443），替换原有的app.UseHttpsRedirection()：

app.UseHttpsRedirection(options =>
{
    options.HttpsPort = 443;
});

如果不需要强制HTTPS，也可以暂时注释掉这行，但生产环境建议保留并配置正确端口。

2. 配置Nginx反向代理（正确转发与SSL） #

编辑Nginx站点配置文件（比如/etc/nginx/conf.d/example.com.conf），确保规则正确：

# HTTP转HTTPS
server {
    listen 80;
    server_name example.com www.example.com;
    return 301 https://$server_name$request_uri;
}

# HTTPS服务配置
server {
    listen 443 ssl http2;
    server_name example.com www.example.com;

    # Let's Encrypt证书路径，根据实际情况修改
    ssl_certificate /etc/letsencrypt/live/example.com/fullchain.pem;
    ssl_certificate_key /etc/letsencrypt/live/example.com/privkey.pem;

    # SSL基础优化
    ssl_protocols TLSv1.2 TLSv1.3;
    ssl_ciphers HIGH:!aNULL:!MD5;
    ssl_prefer_server_ciphers on;

    # 转发所有请求到Kestrel
    location / {
        proxy_pass http://127.0.0.1:5000;
        proxy_set_header Host $host;
        proxy_set_header X-Real-IP $remote_addr;
        proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
        proxy_set_header X-Forwarded-Proto $scheme;
    }

    # 单独配置Swagger路径，确保转发正常
    location /swagger {
        proxy_pass http://127.0.0.1:5000;
        proxy_set_header Host $host;
        proxy_set_header X-Real-IP $remote_addr;
        proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
        proxy_set_header X-Forwarded-Proto $scheme;
    }
}

3. 验证服务与权限 #

• 重启Nginx生效配置：systemctl restart nginx
• 检查应用是否正常监听5000端口：ss -tulpn | grep :5000，确保输出里有dotnet进程
• 确认SELinux配置正确：getsebool httpd_can_network_connect，结果应为on，如果不是重新执行setsebool -P httpd_can_network_connect 1

4. 修复Swagger访问问题 #

默认Visual Studio模板在生产环境会禁用Swagger，需要在Program.cs中调整：

// 允许生产环境访问Swagger，根据需求决定是否保留
if (app.Environment.IsProduction())
{
    app.UseSwagger();
    app.UseSwaggerUI();
}

同时确保Nginx的/swagger转发规则正确（已在步骤2配置）。

5. 剩余问题排查 #

• SSL握手错误：执行certbot certificates检查证书是否有效，路径是否和Nginx配置一致
• 404错误：在服务器上用curl http://127.0.0.1:5000测试应用是否正常响应，若没问题则检查Nginx的proxy_pass地址是否写错
• 301循环：检查Nginx的HTTP转HTTPS规则和应用的HTTPS重定向是否冲突，建议只让Nginx处理HTTP到HTTPS的跳转，应用内部重定向指定443端口即可

内容的提问来源于stack exchange，提问作者Kirsten