ASP.NET Core 7 Linux下HTTP3/QUIC证书认证失败问题求助

问题根源是ZeroSSL证书需要附带**完整的证书链（服务器证书+中间CA证书）**才能被移动端Chromium等客户端信任。Windows环境下系统信任存储会自动补充缺失的中间CA，但Linux下Kestrel不会自动加载，导致仅发送服务器证书，触发CertificateUnknown认证异常。

以下是具体解决步骤：

1. 合并ZeroSSL证书与中间CA证书 #

将ZeroSSL提供的服务器证书文件（如certificate.crt）和中间CA证书文件（如ca_bundle.crt）合并为一个完整的证书链文件，服务器证书必须放在最前面。

在Linux终端执行命令：

cat certificate.crt ca_bundle.crt > full_chain.crt

2. 配置Kestrel使用完整证书链 #

有两种配置方式，任选其一即可：

方式一：通过appsettings.json配置 #

修改appsettings.json中的Kestrel端点配置，指定合并后的证书链文件路径：

{
  "Kestrel": {
    "Endpoints": {
      "Http3Grpc": {
        "Url": "https://*:5001",
        "Protocols": "Http3",
        "SslProtocols": "Tls13",
        "Certificate": {
          "Path": "/path/to/your/full_chain.crt",
          "KeyPath": "/path/to/your/private.key"
        }
      }
    }
  }
}

方式二：通过Program.cs代码配置 #

在启动代码中直接指定完整证书链：

var builder = WebApplication.CreateBuilder(args);

// 注册gRPC服务
builder.Services.AddGrpc();

// 配置Kestrel启用HTTP3/QUIC并使用完整证书链
builder.WebHost.ConfigureKestrel(options =>
{
    options.ListenAnyIP(5001, listenOpts =>
    {
        listenOpts.Protocols = Microsoft.AspNetCore.Server.Kestrel.Core.HttpProtocols.Http3;
        listenOpts.UseHttps(httpsOpts =>
        {
            httpsOpts.SslProtocols = System.Security.Authentication.SslProtocols.Tls13;
            // 加载合并后的完整证书链
            httpsOpts.ServerCertificate = new System.Security.Cryptography.X509Certificates.X509Certificate2(
                "/path/to/your/full_chain.crt",
                "your-certificate-password" // 如果私钥有密码则填写，无则省略此参数
            );
        });
    });
});

var app = builder.Build();

// 映射gRPC服务端点
app.MapGrpcService<YourGrpcServiceImpl>();

app.Run();

3. 验证证书链完整性 #

启动服务器后，使用openssl工具验证证书链是否正确发送：

openssl s_client -connect your-server-domain:5001 -alpn h3

在输出中查找Certificate chain部分，确认包含服务器证书和ZeroSSL的中间CA证书条目。

内容的提问来源于stack exchange，提问作者Valery Yegorov