自托管VB.NET服务部分网站报SSL/TLS安全通道创建失败求助

这是.NET开发中很常见的SSL握手问题，咱们一步步拆解可能的原因，再对应给出解决方向：

1. 目标网站要求更高的TLS版本 #

你当前只指定了SecurityProtocolType.Tls12，但现在不少网站已经升级到TLS 1.3了。如果你的.NET Framework版本是4.7及以上，直接把TLS版本扩展一下：

ServicePointManager.SecurityProtocol = SecurityProtocolType.Tls12 Or SecurityProtocolType.Tls13

要是用的是4.7以下的版本，得先升级到最新的.NET Framework（比如4.8），低版本默认不支持TLS 1.3，就算手动声明也没用。

2. ServicePointManager设置时机不对 #

这里有个很容易踩的坑：ServicePointManager的静态设置必须在发起第一个HTTP请求之前执行，比如在你的自托管服务启动初始化的时候就配置，而不是等到要下载某个网站时才临时设置。

另外，ServerCertificateValidationCallback = Function() True确实是跳过所有证书验证，但如果这个回调是在请求发起后才赋值，那对当前请求根本不起作用。

3. 缺失SNI（服务器名称指示）支持 #

现在很多共享主机的网站依赖SNI来区分同一IP下的多个域名，旧版本的HttpWebRequest默认没开启SNI支持。如果你用的是.NET Framework 4.5+，可以尝试给请求手动设置SNI：

Dim request As HttpWebRequest = CType(WebRequest.Create(uri), HttpWebRequest)
request.ServerName = request.RequestUri.Host ' 启用SNI

或者直接换成HttpClient，它在4.5+版本里默认就支持SNI，对SSL的兼容性更好。

4. 代理/防火墙拦截了SSL握手 #

如果你的服务运行在公司网络或者有代理的环境下，很可能是中间的MITM代理（比如企业安全网关）拦截了SSL连接，导致握手失败。可以试试：

• 直接在无代理的环境下测试服务，看是否能正常下载
• 给WebRequest配置正确的代理信息：

WebRequest.DefaultWebProxy = New WebProxy("http://your-proxy-address:port")
' 或者如果不需要代理，直接禁用
WebRequest.DefaultWebProxy = Nothing

5. 密码套件不匹配 #

有些网站会限制只使用特定的加密密码套件，如果你的.NET应用使用的套件不在对方的允许列表里，也会握手失败。这种情况比较麻烦：

• 先确认目标网站支持的密码套件（用在线SSL检测工具就能查到）
• 如果是.NET Framework 4.7+，系统会自动适配大部分常用套件；低版本可能需要修改系统注册表来启用缺失的套件，或者借助第三方加密库（比如BouncyCastle）来扩展支持。

6. 自托管服务的权限问题 #

如果你的服务运行在受限账户下，可能没有权限访问系统的SSL证书存储，或者无法加载Schannel这类加密组件。可以临时把服务切换到本地系统账户测试一下，要是能正常运行，再给原账户分配对应的权限。

内容的提问来源于stack exchange，提问作者Metin Genç