服务器部署.Net Core应用调用Mailgun发邮件时SSL连接失败求助

排查步骤与解决方案 #

• 强制指定TLS版本
  Mailgun要求使用TLS 1.2及以上版本，部分服务器默认TLS版本可能过低。在.NET Core应用启动时添加以下代码，强制启用高版本TLS：

  System.Net.ServicePointManager.SecurityProtocol = System.Net.SecurityProtocolType.Tls12 | System.Net.SecurityProtocolType.Tls13;
  

  也可以通过修改appsettings.json配置HttpClient的TLS策略：

  "HttpClient": {
    "SslProtocols": "Tls12, Tls13"
  }
  

• 检查Cloudflare SSL模式与配置
  你的CNAME为email.descod.net，需确认Cloudflare的SSL设置：

  • 将SSL模式设为Full或Full (strict)，避免使用“Flexible”模式（该模式会导致服务器到Cloudflare为HTTP，引发SSL握手断层）
  • 暂时关闭Cloudflare的“Rocket Loader”“Auto Minify”等可能干扰API请求的功能，测试是否恢复正常
  • 用dig email.descod.net在服务器上查询域名解析，确认CNAME正确指向Mailgun的服务器地址

• 验证Mailgun域名与密钥配置

  • 登录Mailgun控制台，确认email.descod.net已完成域名验证（DNS记录包括TXT、CNAME等均生效）
  • 检查服务器环境变量中的Mailgun API密钥是否与本地一致，避免部署时密钥配置遗漏或错误

• 排查服务器证书信任问题

  • 服务器可能缺少Mailgun API证书的根证书，导致SSL验证失败。可临时关闭证书验证测试（仅用于排查，生产环境禁用）：

    var handler = new HttpClientHandler();
    handler.ServerCertificateCustomValidationCallback = (sender, cert, chain, sslPolicyErrors) => true;
    using var client = new HttpClient(handler);
    // 调用Mailgun API的逻辑
    

    如果测试成功，需在服务器上安装对应的根证书（可从Mailgun官方文档获取根证书信息）

• 检查服务器网络连通性

  • 用telnet api.mailgun.net 443测试服务器是否能连通Mailgun的443端口，若不通则检查防火墙出站规则
  • 若服务器使用代理，需在.NET Core应用中配置代理信息，确保HttpClient能正常通过代理访问Mailgun API

• 获取Inner Exception详细信息
  错误提示提到“see inner exception”，需捕获并输出内部异常的具体内容，这是定位问题的关键：

  try
  {
      // 调用Mailgun API的代码
  }
  catch (HttpRequestException ex)
  {
      Console.WriteLine($"Inner异常信息: {ex.InnerException?.Message}");
      Console.WriteLine($"Inner异常堆栈: {ex.InnerException?.StackTrace}");
  }
  

  内部异常会给出更精准的原因，比如证书不匹配、TLS协商失败等

内容的提问来源于stack exchange，提问作者Midz Elwekil