Azure AD B2C静态链接访问配置文件异常问题排查

问题背景 #

我通过Azure Active Directory B2C实现外部授权功能，此前运行完全正常，但从19日周五开始后端突然无响应，经排查核心原因是无法通过静态链接获取OpenID配置信息：该配置链接在浏览器中能正常打开并加载JSON文件，但后端基于.NET Framework 4.6.2的程序却无法访问。目前临时将配置文件上传至AWS S3桶并替换为公共URL，但此方案不够优雅，需定位问题根源。

应用配置中的链接格式如下：

<add key="ida:AadInstance" value="https://xxx.b2clogin.com/{0}/v2.0/.well-known/openid-configuration?p={1}" />

排查方向 #

• TLS版本兼容性问题：.NET Framework 4.6.2默认未强制启用TLS 1.2，若Azure B2C在19日前后调整了TLS版本要求（如禁用TLS 1.0/1.1），会导致程序请求被拒绝。浏览器通常默认支持新TLS版本，因此不受影响。可在程序启动时强制指定TLS 1.2：

  ServicePointManager.SecurityProtocol = SecurityProtocolType.Tls12;
  

• 代理配置差异：浏览器依赖系统或自定义代理可正常访问，但后端程序未配置对应代理，导致请求无法到达Azure B2C服务器。检查程序的代理设置，或确认服务器环境的代理规则在故障前后是否有变更。
• 网络防火墙/NSG规则变更：服务器所在网络（企业内网、云服务商安全组）在19日前后新增出站拦截规则，阻止程序访问b2clogin.com域名。对比故障前后的防火墙、NSG规则记录，排查是否有针对该域名的限制。
• 请求头(User-Agent)缺失或不规范：Azure B2C服务端可能对请求头有校验，浏览器发送的User-Agent符合要求，但后端程序的Http请求未设置标准User-Agent，导致被拦截。可尝试在请求时添加合法的User-Agent：

  var httpClient = new HttpClient();
  httpClient.DefaultRequestHeaders.UserAgent.ParseAdd("Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/118.0.0.0 Safari/537.36");
  

• DNS解析异常：服务器的DNS缓存或所用DNS服务器在19日前后出现解析错误，导致xxx.b2clogin.com无法正确映射到Azure节点。在服务器上执行nslookup xxx.b2clogin.com，对比浏览器所在机器的解析结果，确认是否一致。
• Azure B2C区域节点临时故障：虽然浏览器能访问，但程序所在区域的Azure B2C节点可能存在临时路由问题，导致特定IP段的请求无法响应。可检查Azure状态页面确认对应区域的服务运行状态（此可能性较低，因浏览器可正常访问）。

内容的提问来源于stack exchange，提问作者vuradzu