ASP.NET Core中HTTP.sys Web服务器是否支持SNI？如何配置？

HTTP.sys 完全支持SNI，可以和IIS的SNI站点共存于443端口，核心是采用基于域名的证书绑定方式，而非全局IP端口绑定。以下是具体配置步骤：

一、核心逻辑 #

HTTP.sys通过hostnameport类型的SSL绑定实现SNI，这种绑定基于「域名+端口」维度，不会覆盖IIS的全局IP端口绑定或其他SNI绑定，多个服务可通过请求的SNI主机头区分处理。

二、具体配置步骤 #

1. 准备证书 #

将ASP.NET Core应用所需的SSL证书导入到本地计算机账户的「个人」证书存储（若证书在其他存储，后续需调整certstorename参数）。从证书管理器中复制证书的指纹，注意去掉指纹中的空格。

2. 用netsh绑定SNI证书 #

执行以下命令绑定证书到指定域名+端口（替换占位符为实际值）：

netsh http add sslcert hostnameport=example.com:443 certhash=<证书指纹> appid="{<唯一GUID>}" certstorename=MY

• hostnameport: 指定要绑定的域名和端口，这是开启SNI的关键（区别于全局ipport绑定）
• certhash: 证书的指纹（无空格）
• appid: 生成一个唯一GUID标识你的ASP.NET Core应用（可通过guidgen工具或在线生成器获取）
• certstorename: 默认MY对应「个人」存储，若证书在其他存储需修改

3. 配置ASP.NET Core的HTTP.sys选项 #

在代码中指定带域名的HTTPS前缀，HTTP.sys会自动匹配对应的SNI证书：

public static IHostBuilder CreateHostBuilder(string[] args) =>
    Host.CreateDefaultBuilder(args)
        .ConfigureWebHostDefaults(webBuilder =>
        {
            webBuilder.UseHttpSys(options =>
            {
                // 绑定带域名的HTTPS前缀，与netsh的hostnameport对应
                options.UrlPrefixes.Add("https://example.com:443");
                // 可选：配置其他HTTP.sys参数，如身份验证、超时等
            });
            webBuilder.UseStartup<Startup>();
        });

三、解决你遇到的三个问题 #

1. UrlPrefixes无法指定证书：HTTP.sys的证书绑定由netsh管理，代码中只需指定域名前缀，无需在代码内配置证书。
2. netsh ipport绑定覆盖IIS：改用hostnameport绑定即可避免冲突，因为这是基于域名的SNI绑定，不会影响IIS的全局或其他SNI绑定。
3. Kestrel配置无效：HTTP.sys是独立于Kestrel的Web服务器，Kestrel的HTTPS配置对HTTP.sys不生效，必须通过netsh管理证书。

四、验证与维护 #

• 查看绑定状态：netsh http show sslcert hostnameport=example.com:443
• 删除无效绑定：netsh http delete sslcert hostnameport=example.com:443
• 证书权限：确保应用运行账户（如Windows服务账户、IIS应用池账户）拥有证书私钥的读取权限（在证书管理器中右键证书→所有任务→管理私钥添加权限）

内容的提问来源于stack exchange，提问作者arty