使用StackExchange.Redis连接AWS ElastiCache Redis集群遇认证错误

问题根源 #

异常核心是RemoteCertificateNameMismatch：AWS ElastiCache的SSL证书是颁发给其原生配置端点域名（格式通常为*.cache.amazonaws.com）的，而你使用的是Route53 CNAME记录（myhost.mydomain.internal）。StackExchange.Redis默认会用你传入的CNAME域名去验证证书，导致名称不匹配；而Python的redis-cluster库会自动解析CNAME并使用实际配置端点域名做证书验证，因此能成功连接。

解决方案 #

方法1：自定义证书验证回调，允许ElastiCache端点域名

添加证书验证逻辑，忽略CNAME与证书域名的不匹配，仅验证证书是否为AWS有效证书：

using StackExchange.Redis;
using System.Net;
using System.Net.Security;
using System.Security.Cryptography.X509Certificates;
using System.Threading.Tasks;

namespace CSharpRedisCli
{
    class Program
    {
        static readonly ConnectionMultiplexer redis = ConnectionMultiplexer.Connect(
            new ConfigurationOptions{
                EndPoints = { new DnsEndPoint("myhost.mydomain.internal", 6379) },
                ResolveDns = true,
                Ssl = true,
                Password = "mysupersecretpassword",
                AbortOnConnectFail=false,
                // 自定义证书验证回调
                CertificateValidation = (sender, certificate, chain, sslPolicyErrors) =>
                {
                    // 仅忽略名称不匹配错误，且证书属于ElastiCache
                    if (sslPolicyErrors == SslPolicyErrors.RemoteCertificateNameMismatch)
                    {
                        return certificate.Subject.Contains(".cache.amazonaws.com");
                    }
                    // 其他错误按默认逻辑处理
                    return sslPolicyErrors == SslPolicyErrors.None;
                }
            });
        
        static async Task Main(string[] args)
        {
            var db = redis.GetDatabase();
            var pong = await db.PingAsync();
            Console.WriteLine(pong);
        }
    }
}

方法2：指定SslHost为ElastiCache原生配置端点域名

直接设置SslHost为ElastiCache实际的配置端点域名，让StackExchange.Redis用该域名验证证书：

using StackExchange.Redis;
using System.Net;
using System.Threading.Tasks;

namespace CSharpRedisCli
{
    class Program
    {
        static readonly ConnectionMultiplexer redis = ConnectionMultiplexer.Connect(
            new ConfigurationOptions{
                EndPoints = { new DnsEndPoint("myhost.mydomain.internal", 6379) },
                ResolveDns = true,
                Ssl = true,
                Password = "mysupersecretpassword",
                AbortOnConnectFail=false,
                // 替换为你的ElastiCache配置端点域名
                SslHost = "your-actual-config-endpoint.cache.amazonaws.com"
            });
        
        static async Task Main(string[] args)
        {
            var db = redis.GetDatabase();
            var pong = await db.PingAsync();
            Console.WriteLine(pong);
        }
    }
}

补充说明 #

• 方法1更灵活，无需硬编码原生域名，适合动态环境；
• 方法2安全性更高，明确指定验证域名，避免信任无关证书；
• 确保机器已安装AWS根证书，否则可能出现证书链验证失败错误。

内容的提问来源于stack exchange，提问作者Giuliani Sanches