使用MailKit 3.4.2对接NTLM认证Exchange服务器遇错误求助

针对端口465的SSL/TLS连接错误 #

• Exchange服务器通常默认不启用465端口（SMTPS直连模式），优先用587端口配合STARTTLS是更标准的选择。如果必须用465，需确认Exchange管理员已开启该端口，且服务器支持的TLS版本与.NET 4.7.2兼容。
• 强制指定TLS 1.2协议（Exchange多数环境要求），在Connect前添加代码：

  System.Net.ServicePointManager.SecurityProtocol = System.Net.SecurityProtocolType.Tls12;
  

• 将SecureSocketOptions.Auto改为SecureSocketOptions.SslOnConnect，明确使用SSL直连模式。

针对端口587的535认证失败（NTLM） #

• 用户名格式错误是核心原因：Exchange NTLM认证要求用户名必须包含域名，格式为DOMAIN\Username或完整UPN（user@domain.com），不能仅传单纯的用户名。检查emailServerInfo.UserName是否符合要求。
• 明确指定STARTTLS模式：将SecureSocketOptions.Auto改为SecureSocketOptions.StartTls，确保先建立明文连接再升级TLS，这是587端口的标准流程。
• 调整NTLM机制初始化方式：部分Exchange环境要求用NetworkCredential构造认证对象，替代直接传用户名密码，修改代码如下：

  var credential = new System.Net.NetworkCredential(emailServerInfo.UserName, emailServerInfo.Password);
  var ntlm = new SaslMechanismNtlm(credential);
  cli.Authenticate(ntlm);
  

修改后的完整代码示例 #

// Add Content to Mime Message
var bodyBuider = new BodyBuilder();
message.Subject = subject;
bodyBuider.HtmlBody = body;
message.Body = bodyBuider.ToMessageBody();

#region Send Mail
SmtpClient cli = new SmtpClient();

try
{
    // 强制启用TLS 1.2，适配Exchange服务器要求
    System.Net.ServicePointManager.SecurityProtocol = System.Net.SecurityProtocolType.Tls12;
    // 忽略未知CA证书（生产环境建议移除，改用信任证书）
    cli.ServerCertificateValidationCallback = (s, c, h, e) => true;

    // 根据端口指定正确的安全模式
    SecureSocketOptions secureOption;
    if (emailServerInfo.Port == 587)
    {
        secureOption = SecureSocketOptions.StartTls;
    }
    else if (emailServerInfo.Port == 465)
    {
        secureOption = SecureSocketOptions.SslOnConnect;
    }
    else
    {
        secureOption = SecureSocketOptions.Auto;
    }

    cli.Connect(emailServerInfo.Host, emailServerInfo.Port, secureOption);

    // 认证逻辑
    if (!string.IsNullOrEmpty(emailServerInfo.UserName))
    {
        if (cli.AuthenticationMechanisms.Contains("NTLM"))
        {
            // 使用NetworkCredential构造NTLM认证，适配Exchange环境
            var credential = new System.Net.NetworkCredential(emailServerInfo.UserName, emailServerInfo.Password);
            var ntlm = new SaslMechanismNtlm(credential);
            cli.Authenticate(ntlm);
        }
        else
        {
            cli.Authenticate(emailServerInfo.UserName, emailServerInfo.Password);
        }
    }

    cli.Send(message);
}
catch (Exception ex)
{
    this._audit.AddError(new Shared.Models.Audit.AuditErrorAddRequestInfo(ex));
    ret.Add(ex.Message);
}
finally
{
    cli.Disconnect(true);
}
#endregion

额外排查点 #

• 确认Exchange服务器的SMTP接收连接器配置：是否允许NTLM认证，是否限制了客户端IP或域账户权限。
• 测试账户的登录权限：用Outlook或其他邮件客户端测试该账户是否能通过对应端口发送邮件，排除账户本身的问题。

内容的提问来源于stack exchange，提问作者wodubayo