在无OpenSSL的Docker镜像中启用TLS 1.0与TLS 1.1的方法

针对你遇到的Docker容器内.NET 6 API无法连接不支持TLS 1.2的SQL Server 2008问题，有几个可行的方案，完全不用依赖宿主机的OpenSSL：

1. 应用层面强制启用TLS 1.0/1.1 #

.NET 6默认禁用了TLS 1.0和1.1，你可以在应用代码或配置里显式开启这些协议：

代码方式（Program.cs） #

在构建WebApplication实例之前添加以下代码：

// 启用TLS 1.0和TLS 1.1
System.Net.ServicePointManager.SecurityProtocol = 
    System.Net.SecurityProtocolType.Tls | System.Net.SecurityProtocolType.Tls11;

var builder = WebApplication.CreateBuilder(args);
// 后续的服务配置...

配置文件方式（appsettings.json） #

在配置文件中添加.NET全局设置：

{
  "System.Net.ServicePointManager": {
    "SecurityProtocol": "Tls,Tls11"
  }
}

2. 修改Docker镜像内的SSL配置（无需宿主机OpenSSL） #

你之前了解的修改openssl.cnf的方法其实不需要宿主机安装OpenSSL——这个操作是在容器镜像内部执行的，和宿主机环境完全隔离。只要你使用的是官方.NET 6基础镜像（比如mcr.microsoft.com/dotnet/aspnet:6.0），本身就自带OpenSSL工具，直接在Dockerfile中加入以下命令即可：

# 降低SSL安全级别，允许旧协议通行
RUN sed -i 's/DEFAULT@SECLEVEL=2/DEFAULT@SECLEVEL=1/g' /etc/ssl/openssl.cnf

这个命令只会修改容器内部的SSL配置，不会对宿主机造成任何影响。

3. 运行容器时通过环境变量指定 #

如果不想修改代码或Dockerfile，可以在启动容器时通过环境变量临时设置.NET的安全协议：

docker run -e DOTNET_SYSTEM_NET_SERVICEPOINTMANAGER_SECURITYPROTOCOL="Tls,Tls11" your-api-image:latest

注意事项 #

• 优先推荐应用层面的配置（代码/环境变量），因为它只影响你的API应用，不会改变容器的全局SSL安全策略。
• 这些设置仅适用于测试环境，生产环境中建议尽快升级SQL Server以支持TLS 1.2及以上版本，避免安全风险。

内容的提问来源于stack exchange，提问作者zmarcus47