如何解决Azure DevOps Webhook请求发送失败的传输流认证错误？

问题背景 #

我们使用Azure DevOps Webhook在工作项变更时通知内部IIS应用，该方案稳定运行一年后突然失效。Webhook历史中报错如下：

There was an error sending the request, so there was no response. 
Error(s): 
    An error occurred while sending the request. 
    The underlying connection was closed: An unexpected error occurred on a send. 
    Authentication failed because the remote party has closed the transport stream.

请求未出现在IIS日志中，近期内部应用所在服务器从Windows Server 2012R2升级到Windows Server 2019，推测是TLS版本/密码套件不匹配导致连接失败，需要了解Azure DevOps Webhook支持的密码套件信息。

问题分析 #

该错误属于TLS握手阶段失败：服务器升级后，Windows Server 2019默认启用的TLS版本、密码套件与旧版本差异较大，Azure DevOps服务端和你的IIS服务器之间没有共同支持的TLS版本或密码套件，导致连接在握手阶段就被关闭，请求根本未到达应用层，因此不会出现在IIS日志中。

Azure DevOps Webhook 支持的密码套件及TLS版本 #

官方明确规定了Azure DevOps服务端支持的加密配置：

• 支持的TLS版本：仅TLS 1.2和TLS 1.3（已禁用TLS 1.0/1.1等过时版本）
• 支持的密码套件（按优先级排序）：
  • TLS_AES_256_GCM_SHA384
  • TLS_CHACHA20_POLY1305_SHA256
  • TLS_AES_128_GCM_SHA256
  • TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384
  • TLS_ECDHE_RSA_WITH_CHACHA20_POLY1305_SHA256
  • TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256

修复步骤 #

1. 检查并配置TLS版本：
   打开服务器「本地组策略编辑器」，定位到计算机配置 > 管理模板 > 网络 > SSL配置设置，确保启用TLS 1.2和TLS 1.3，禁用TLS 1.0/1.1。
2. 调整密码套件顺序：
   在同一路径下修改「SSL密码套件顺序」，确保包含至少一个上述Azure DevOps支持的密码套件。
3. 重启服务验证：
   重启IIS服务后，触发工作项变更测试Webhook是否恢复。
4. 确认基础认证配置：
   同步检查Webhook配置的基础认证用户名/密码是否有效，服务器升级后可能存在权限或组件变更影响认证。

内容的提问来源于stack exchange，提问作者Wazner