如何让IMAP客户端使用IMAP服务器自签名证书建立SSL连接？

我用C#开发IMAP服务器，要给它加SSL连接，用Thunderbird当测试客户端。照着微软文档配了SslStream，结果SSL流读写时一直报错：An established connection was aborted by the software in your host machine.，换成StreamReader和StreamWriter也没解决。

我的代码片段：

SslStream SslStream = new SslStream(TcpClient.GetStream());
SslStream.AuthenticateAsServer(ServerCertificate, true, System.Security.Authentication.SslProtocols.Tls12, true);
StreamReader Reader = new StreamReader(SslStream, Encoding.UTF8);
StreamWriter Writer = new StreamWriter(SslStream, Encoding.UTF8){ AutoFlush = true };

用OpenSSL生成证书的命令是这些：

openssl genpkey -algorithm RSA -out private.key
openssl req -new -key private.key -out csr.csr
openssl x509 -req -days 365 -in csr.csr -signkey private.key -out certificate.crt
openssl pkcs12 -export -in certificate.crt -inkey private.key -out certificate.p12

试过p12和pfx格式的证书，还是在sslstream.Read时碰到这个错：Unable to read data from the transport connection: An existing connection was forcibly closed by the remote host..。

如果把AuthenticateAsServer的第二个参数改成false，这行代码能正常跑，但await reader.ReadLineAsync()会一直卡着不动。

还试过用NetCoreServer包搭SSL服务器，结果自签名证书不被Thunderbird认，连接上立刻断开，握手都完不成。

现在需要解决的是：用自签名证书让IMAP服务器和Thunderbird这类客户端成功建立SSL连接。

1. 修正自签名证书的生成和客户端信任 #

Thunderbird拒绝自签名证书，大多是因为证书的标识不匹配或者没被客户端信任：

• 生成证书时，Common Name(CN)要设成你服务器的域名或IP（测试的话用localhost或者127.0.0.1就行）
• 给证书加SAN扩展（Subject Alternative Name），现在很多客户端已经不单纯认CN了，得用这个扩展来指定合法的服务器标识：
  先建个openssl.cnf配置文件：

  [req]
  distinguished_name = req_distinguished_name
  req_extensions = v3_req
  prompt = no
  
  [req_distinguished_name]
  CN = localhost
  
  [v3_req]
  keyUsage = keyEncipherment, dataEncipherment
  extendedKeyUsage = serverAuth
  subjectAltName = @alt_names
  
  [alt_names]
  DNS.1 = localhost
  IP.1 = 127.0.0.1
  

  然后用下面的命令生成证书：

  openssl genpkey -algorithm RSA -out private.key
  openssl req -new -key private.key -out csr.csr -config openssl.cnf
  openssl x509 -req -days 365 -in csr.csr -signkey private.key -out certificate.crt -extensions v3_req -extfile openssl.cnf
  openssl pkcs12 -export -in certificate.crt -inkey private.key -out certificate.p12 -name "IMAP Server Cert"
  

• 把生成的certificate.crt导入Thunderbird的信任列表：
  打开Thunderbird → 选项 → 隐私与安全 → 证书 → 查看证书 → 权威证书 → 导入，选certificate.crt，勾选“信任此证书识别网站”，确认导入就行。

2. 调整SslStream配置和IMAP协议流程 #

卡着不动或者连接断开，大概率是没按IMAP协议的顺序来，或者SslStream的参数不对：

• 正确的AuthenticateAsServer参数设置：

  SslStream.AuthenticateAsServer(
      ServerCertificate,
      clientCertificateRequired: false, // 不需要客户端证书，除非你服务器强制要
      enabledSslProtocols: SslProtocols.Tls12 | SslProtocols.Tls13, // 同时支持TLS1.2和1.3
      checkCertificateRevocation: false // 自签名证书没有吊销链，关掉这个检查
  );
  

• IMAP SSL连接的正确步骤：
  客户端连到IMAPS的默认端口993后，服务器先完成SSL握手，握手成功必须马上发IMAP问候语（比如* OK IMAP Server Ready），不然客户端会一直等，导致ReadLineAsync卡住。改下代码：

  // SSL认证完成后立刻发问候
  await Writer.WriteLineAsync("* OK IMAP Server Ready");
  // 再读客户端的命令
  string line = await Reader.ReadLineAsync();
  

3. 调试排查技巧 #

• 开Thunderbird的SSL日志找问题：
  打开Thunderbird → 选项 → 高级 → 配置编辑器，搜security.ssl.debug设为true，security.ssl.trace也设为true，重启后看日志，能精准定位是证书问题还是握手失败。
• 用openssl s_client测试SSL连接：

  openssl s_client -connect localhost:993 -tls1_2
  

  如果输出里有Verify return code: 0 (ok)，说明SSL握手没问题，问题出在IMAP协议逻辑；如果返回非0，就查证书信任或者配置。

内容的提问来源于stack exchange，提问作者Fatima Ali