.NET 6跨机器gRPC over HTTPS的证书配置方法

问题根源 #

dotnet dev-certs https生成的自签名证书仅将localhost作为主题备用名称（SAN），不包含局域网IP地址。当客户端通过IP访问gRPC服务时，SSL证书验证会因名称不匹配和证书链信任问题失败，也就是你遇到的RemoteCertificateNameMismatch和RemoteCertificateChainErrors异常。

解决方案步骤 #

1. 创建包含目标IP的自签名证书

使用PowerShell生成带有指定IP的自签名证书（需管理员权限）：

# 生成证书，替换192.168.0.120为你的服务器实际IP
New-SelfSignedCertificate -DnsName "localhost" `
  -CertStoreLocation "Cert:\LocalMachine\My" `
  -Subject "CN=LocalNetworkGRPC" `
  -KeyAlgorithm RSA `
  -KeyLength 2048 `
  -KeyExportPolicy Exportable `
  -NotAfter (Get-Date).AddYears(2) `
  -TextExtension @("2.5.29.17={text}IPAddress=192.168.0.120")

将生成的证书导出为PFX文件（用于服务器配置）：

# 获取刚生成的证书
$cert = Get-ChildItem -Path Cert:\LocalMachine\My | Where-Object {$_.Subject -eq "CN=LocalNetworkGRPC"}
# 导出PFX，替换密码和路径为你自己的设置
Export-PfxCertificate -Cert $cert `
  -FilePath "C:\grpc-server-cert.pfx" `
  -Password (ConvertTo-SecureString "YourStrongPassword123" -AsPlainText -Force)

2. 配置gRPC服务器使用自定义证书

修改服务器的appsettings.json，指定证书路径和密码：

{
  "Kestrel": {
    "Endpoints": {
      "Https": {
        "Url": "https://0.0.0.0:50000",
        "Certificate": {
          "Path": "C:\\grpc-server-cert.pfx",
          "Password": "YourStrongPassword123"
        }
      }
    }
  }
}

或者在Program.cs中通过代码配置Kestrel（适合控制台程序）：

var builder = WebApplication.CreateBuilder(args);
// 添加gRPC服务
builder.Services.AddGrpc();

// 配置Kestrel使用自定义证书
builder.WebHost.ConfigureKestrel(options =>
{
    options.ListenAnyIP(50000, listenOptions =>
    {
        listenOptions.UseHttps("grpc-server-cert.pfx", "YourStrongPassword123");
    });
});

var app = builder.Build();
app.MapGrpcService<YourGrpcServiceImpl>();
app.Run();

3. 在客户端机器信任该证书

将导出的grpc-server-cert.pfx复制到客户端机器，通过PowerShell导入到受信任的根证书颁发机构（需管理员权限）：

Import-PfxCertificate -FilePath "C:\path\to\grpc-server-cert.pfx" `
  -CertStoreLocation "Cert:\LocalMachine\Root" `
  -Password (ConvertTo-SecureString "YourStrongPassword123" -AsPlainText -Force)

也可以手动导入：双击PFX文件，按照向导选择“本地计算机”，将证书放在“受信任的根证书颁发机构”存储中。

4. 客户端正常调用gRPC服务

现在客户端可以直接通过IP地址创建通道，证书验证会自动通过：

using Grpc.Net.Client;

var channel = GrpcChannel.ForAddress("https://192.168.0.120:50000");
var client = new YourGrpcService.YourGrpcServiceClient(channel);

// 调用gRPC方法
var response = await client.YourMethodAsync(new YourRequest());

注意事项 #

• 证书密码请设置强密码，生产环境避免硬编码，可通过环境变量或.NET配置加密功能存储。
• 证书有效期可根据需求调整-NotAfter参数。
• 若仅用于测试，也可在客户端代码中临时跳过证书验证（不推荐生产）：

  var handler = new HttpClientHandler();
  handler.ServerCertificateCustomValidationCallback = HttpClientHandler.DangerousAcceptAnyServerCertificateValidator;
  var channel = GrpcChannel.ForAddress("https://192.168.0.120:50000", new GrpcChannelOptions
  {
      HttpClient = new HttpClient(handler)
  });
  

内容的提问来源于stack exchange，提问作者LWChris