仅配置多个HTTPS端点时ASP.NET Core（Kestrel）无法正常工作

核心问题 #

Windows环境下使用.NET7 ASP.NET Core + Kestrel自托管时，仅配置多个HTTPS域名端点（如https://abc.ourdomain.com、https://def.ourdomain.com）会导致所有端点失效，但添加任意HTTP端点后所有端点恢复正常。

可能原因 #

1. SNI配置缺失：当多个HTTPS端点监听同一默认端口（443）时，Kestrel需要依赖Server Name Indication (SNI) 区分不同域名的请求。若未显式启用SNI或配置域名与证书的映射，Kestrel无法正确绑定多个HTTPS端点，导致请求无法被路由。
2. Windows端口绑定限制：Windows下同一端口默认不允许多个HTTPS端点绑定，除非通过SNI提供域名区分逻辑。添加HTTP端点后，Kestrel的绑定流程触发了不同的端口处理逻辑，间接绕过了HTTPS端点的绑定冲突。
3. 证书SAN字段不全：若使用的证书未包含所有目标域名的Subject Alternative Name (SAN) 字段，多域名场景下会出现验证失败或绑定问题（你提到证书有效、单域名正常，此可能性较低，但仍需验证）。

解决方案 #

方案1：显式配置SNI（推荐） #

修改Kestrel配置，启用SNI并为每个域名绑定证书（即使使用同一SAN证书）：

builder.WebHost.ConfigureKestrel(serverOptions =>
{
    var certificate = /* 加载你的有效证书，例如从文件或证书存储 */;
    
    // 监听443端口，启用SNI
    serverOptions.ListenAnyIP(443, listenOptions =>
    {
        listenOptions.UseHttps(httpsOptions =>
        {
            httpsOptions.ServerCertificate = certificate;
            // 为每个域名配置SNI映射
            httpsOptions.SniOptions.SniHosts.Add("abc.ourdomain.com", sniOpts =>
            {
                sniOpts.ServerCertificate = certificate;
            });
            httpsOptions.SniOptions.SniHosts.Add("def.ourdomain.com", sniOpts =>
            {
                sniOpts.ServerCertificate = certificate;
            });
        });
    });
});

如果使用包含所有域名的SAN证书，可简化为自动匹配：

builder.WebHost.ConfigureKestrel(serverOptions =>
{
    var certificate = /* 加载你的SAN证书 */;
    
    serverOptions.ListenAnyIP(443, listenOptions =>
    {
        listenOptions.UseHttps(httpsOptions =>
        {
            httpsOptions.ServerCertificate = certificate;
            // 启用SNI，自动匹配证书中的SAN域名
            httpsOptions.SniOptions.Enabled = true;
        });
    });
});

方案2：验证证书SAN字段 #

打开Windows证书管理器（certlm.msc），找到目标证书，查看详细信息中的使用者可选名称字段，确认abc.ourdomain.com和def.ourdomain.com均已包含在内。

方案3：临时端口区分（测试用） #

为不同HTTPS端点指定不同端口（如https://abc.ourdomain.com:44301、https://def.ourdomain.com:44302），此时无需SNI也能正常运行，但不推荐用于生产环境。

验证步骤 #

1. 修改Kestrel配置后，移除所有HTTP端点，仅保留多个HTTPS端点。
2. 启动应用，使用浏览器或curl访问两个HTTPS域名，确认请求正常响应。
3. 查看应用日志（启用Kestrel详细日志），确认无绑定错误或证书验证错误。

内容的提问来源于stack exchange，提问作者jool