MailKit搭配Let's Encrypt证书出现SslHandshakeException问题求助

看起来你遇到的核心问题是服务器本地的.NET Core应用无法验证Postfix的SSL证书链——虽然证书本身合法，但服务器的系统证书存储、TLS配置或网络限制导致了验证失败。咱们一步步来排查解决：

1. 先确认Postfix的TLS证书配置是否正确 #

首先要确保Postfix在submission端口（587）使用的是包含完整证书链的文件，而非单独的域名证书：

• 打开Postfix主配置文件/etc/postfix/main.cf，检查以下参数（替换为你的实际证书路径）：

  smtpd_tls_cert_file = /etc/letsencrypt/live/your-domain.com/fullchain.pem
  smtpd_tls_key_file = /etc/letsencrypt/live/your-domain.com/privkey.pem
  smtpd_tls_chain_files = /etc/letsencrypt/live/your-domain.com/chain.pem
  

• 重启Postfix生效：systemctl restart postfix
• 用OpenSSL本地验证证书链：

  openssl s_client -connect localhost:587 -starttls smtp
  

  查看输出里的Verify return code：如果是0 (ok)说明证书链没问题；如果是20 (unable to get local issuer certificate)，说明系统根证书存储缺失对应的根证书。

2. 更新CentOS 7的系统根证书存储 #

CentOS 7默认的根证书可能过时，尤其是使用新根CA（比如Let's Encrypt的ISRG Root X1）签发的证书：

• 确保ca-certificates包已安装：yum install -y ca-certificates
• 下载最新根证书到系统信任目录：

  curl -o /etc/pki/ca-trust/source/anchors/isrgrootx1.pem https://letsencrypt.org/certs/isrgrootx1.pem.txt
  

• 更新证书存储：update-ca-trust extract
• 再次用OpenSSL验证，确认证书链能被正常识别。

3. 解决CRL获取失败的问题 #

日志里的unable to get certificate CRL说明服务器无法访问证书吊销列表，大概率是防火墙或SELinux限制了出站请求：

• 临时关闭SELinux测试：setenforce 0，重新运行.NET应用，如果问题解决，说明是SELinux的限制。
• 永久调整SELinux规则（允许Postfix访问网络获取CRL）：

  setsebool -P postfix_can_network_connect on
  

• 检查防火墙规则，确保允许出站的HTTP/HTTPS请求（CRL通常通过HTTP分发）。

4. 临时调整MailKit的证书验证逻辑（测试用） #

如果以上步骤暂时无法解决，可以在代码里临时跳过CRL验证（仅用于定位问题，不推荐生产环境长期使用）：

using (SmtpClient emailClient = new SmtpClient())
{
    // 自定义证书验证回调，排除CRL相关错误
    emailClient.ServerCertificateValidationCallback = (sender, certificate, chain, errors) =>
    {
        // 移除CRL验证失败的错误码
        var allowedErrors = errors & ~(SslPolicyErrors.RemoteCertificateChainErrors & (SslPolicyErrors)0x00000020);
        // 只验证除CRL外的其他证书问题
        return allowedErrors == SslPolicyErrors.None;
    };

    await emailClient.ConnectAsync(emailConfiguration.SmtpServer, emailConfiguration.SmtpPort, SecureSocketOptions.StartTls);
    emailClient.AuthenticationMechanisms.Remove("XOAUTH2");
    await emailClient.AuthenticateAsync(emailConfiguration.SmtpUsername, emailConfiguration.SmtpPassword);
    await emailClient.SendAsync(message);
    await emailClient.DisconnectAsync(true);
}

5. 检查.NET Core的证书加载逻辑 #

.NET Core在Linux上默认使用系统证书存储，但偶尔会有兼容性问题：

• 设置环境变量让.NET使用系统OpenSSL库：export DOTNET_SYSTEM_NET_HTTP_USESOCKETSHTTPHANDLER=0，然后重启应用。
• 或者在代码里手动加载系统根证书：

  var rootCert = new X509Certificate2("/etc/pki/ca-trust/extracted/pem/tls-ca-bundle.pem");
  var chain = new X509Chain();
  chain.ChainPolicy.ExtraStore.Add(rootCert);
  // 忽略CRL吊销未知的错误
  chain.ChainPolicy.VerificationFlags = X509VerificationFlags.IgnoreCertificateAuthorityRevocationUnknown;
  
  emailClient.ServerCertificateValidationCallback = (sender, cert, _, errors) => 
      chain.Build((X509Certificate2)cert) && (errors & ~SslPolicyErrors.RemoteCertificateChainErrors) == SslPolicyErrors.None;
  

按这个顺序排查，应该能解决你的TLS握手问题。

内容的提问来源于stack exchange，提问作者Somaar