旧Windows系统连接Azure Container Apps（CoreWCF服务）问题求助

针对旧Windows系统客户端的SSL/TLS连接问题 #

1. 调整客户端配置，启用兼容的TLS设置和密码套件 #

• 强制.NET Framework使用TLS 1.2：在WinForms客户端的App.config中添加以下配置，确保客户端优先使用TLS 1.2并启用强加密：

  <configuration>
    <system.net>
      <settings>
        <servicePointManager securityProtocol="Tls12" />
      </settings>
    </system.net>
    <runtime>
      <AppContextSwitchOverrides value="Switch.System.Net.DontEnableSchUseStrongCrypto=false;Switch.System.Net.DontEnableSystemDefaultTlsVersions=false" />
    </runtime>
  </configuration>
  

• 启用旧系统支持的密码套件：通过注册表或组策略，在客户端机器上启用Azure Container Apps前端兼容的旧密码套件（如TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA384、TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA256）：
  • 注册表路径：HKLM\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Ciphers
  • 对目标套件创建子项，设置Enabled DWORD值为1（需管理员权限）。

2. 配置CoreWCF服务的TLS参数（辅助适配） #

在CoreWCF服务的启动代码中，显式指定支持的TLS版本和密码套件，确保服务端与旧客户端的套件匹配：

var builder = WebApplication.CreateBuilder(args);
builder.Services.AddServiceModelServices();

var app = builder.Build();

// 配置Kestrel监听HTTPS并指定TLS规则
app.UseKestrel(options =>
{
    options.ListenAnyIP(443, listenOptions =>
    {
        listenOptions.UseHttps(httpsOptions =>
        {
            httpsOptions.SslProtocols = System.Security.Authentication.SslProtocols.Tls12;
            // 配置旧系统支持的密码套件
            httpsOptions.CipherSuitesPolicy = new System.Net.Security.CipherSuitesPolicy(new[]
            {
                System.Net.Security.TlsCipherSuite.TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA384,
                System.Net.Security.TlsCipherSuite.TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA256
            });
        });
    });
});

app.UseServiceModel(builder =>
{
    builder.AddService<YourService>();
    builder.AddServiceEndpoint<YourService, IYourService>(
        new BasicHttpBinding(BasicHttpSecurityMode.Transport), "/YourService.svc");
});

app.Run();

3. 中间代理/网关方案（最可靠解决路径） #

由于Azure Container Apps的前端代理（Envoy）由Azure托管，无法直接修改其密码套件配置，因此可以通过添加中间代理适配两端的TLS要求：

• Azure Front Door配置：创建Front Door实例，将后端指向你的ACA服务，在Front Door的TLS设置中选择兼容旧Windows系统的密码套件组（如包含ECDHE-RSA-AES256-CBC-SHA384等套件），并强制使用TLS 1.2。客户端直接连接Front Door域名，由Front Door转发请求到ACA。
• 自定义Nginx代理：如果使用虚拟机部署Nginx，配置Nginx支持旧系统的TLS套件后转发流量到ACA服务，示例配置：

  server {
      listen 443 ssl;
      server_name your-proxy-domain.com;
  
      ssl_protocols TLSv1.2;
      ssl_ciphers ECDHE-RSA-AES256-GCM-SHA384:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-RSA-AES256-CBC-SHA384:ECDHE-RSA-AES128-CBC-SHA256;
      ssl_prefer_server_ciphers on;
  
      location / {
          proxy_pass https://your-aca-service.azurecontainerapps.io;
          proxy_set_header Host $host;
      }
  }
  

关于强制Azure Container Apps使用特定TLS密码套件的问题 #

目前Azure Container Apps的托管入口（默认.azurecontainerapps.io域名）不支持用户自定义TLS密码套件，因为前端的Envoy代理属于Azure托管基础设施，未开放相关配置项。即使使用自定义域名并上传自有SSL证书，也无法直接控制ACA前端的密码套件规则。

唯一可行的方式是通过上述中间代理/网关方案，由代理层负责适配旧客户端的密码套件需求，再转发请求到ACA服务。

内容的提问来源于stack exchange，提问作者youssef el basraoui