排查ASP.NET Core Kestrel SSL连接终止问题

应用配置与代码 #

settings.json配置 #

{
  "Kestrel": {
    "Endpoints": {
      "Https": {
        "Url": "https://localhost:5001"
        }
      },
    "Certificates": {
      "Default": {
          "Subject": "localhost", //default cert generated by visual studio 
          "Store": "My",
          "Location": "LocalMachine",
          "AllowInvalid": "true"
                }
                  }
              }
}

Kestrel代码配置 #

.ConfigureKestrel(options =>
{
    options.ConfigureHttpsDefaults(o =>
    {
        // certificate is an X509Certificate2
        o.ServerCertificate = cert;
        o.ClientCertificateMode = ClientCertificateMode.RequireCertificate;
    });
 
}).UseUrls($"https://*:{int.Parse(Configuration["Port"])}")

错误信息 #

Unable to retrieve products from https://localhost:5001/api/Products. Exception:
The SSL connection could not be established, see inner exception.
System.IO.IOException: Received an unexpected EOF or 0 bytes from the transport stream.

排查建议 #

1. 防火墙与端口验证 #

• 检查Windows Defender防火墙规则：打开「Windows Defender防火墙」→「高级设置」，确认存在允许应用通过5001端口的入站/出站规则，无规则则手动添加。
• 用命令netstat -ano | findstr :5001检查端口占用情况，若被其他进程占用，更换端口或终止占用进程。
• 临时关闭Windows Defender防火墙仅用于测试，验证是否为防火墙阻断连接。

2. 客户端证书有效性验证 #

• 确认客户端证书已正确导入到「受信任的根证书颁发机构」存储（当前用户或本地计算机均可）。
• 检查客户端证书的主题信息、有效期，确保未过期、未被吊销，且与服务器要求匹配。
• 临时将代码中ClientCertificateMode改为AllowCertificate，若请求正常，说明问题出在客户端证书未正确提供或不符合要求。

3. 服务器证书与SSL握手验证 #

• 在代码中添加日志输出，确认cert对象已成功加载，核对证书的Subject、Thumbprint等属性是否与配置一致。
• 使用openssl s_client -connect localhost:5001命令测试SSL握手，查看握手阶段的具体错误（需提前安装OpenSSL）。

4. 系统与网络环境检查 #

• 关闭本地代理、VPN等网络工具，排除其对SSL连接的干扰。
• 确认系统未禁用TLS 1.2及以上版本：打开「Internet选项」→「高级」，检查SSL/TLS协议启用状态。
• 查看系统事件日志：在「事件查看器」→「Windows日志」→「应用程序」中，查找ASP.NET Core、Kestrel相关的错误事件，获取更详细的故障线索。

内容的提问来源于stack exchange，提问作者SQLProfiler