ASP.NET 6.0应用Docker Compose与Kestrel配置连接异常问题

问题描述 #

在Windows系统的Linux容器中运行ASP.NET 6.0应用，未配置Kestrel时运行完全正常，但添加自定义Kestrel配置后，访问时提示“无法访问此网站，localhost意外关闭了连接”。

自定义Kestrel配置代码如下：

builder.WebHost.ConfigureKestrel(serverOptions =>
{
    serverOptions.Listen(IPAddress.Any, 5005, options =>
    {
        options.Protocols = HttpProtocols.Http2;
    });
    serverOptions.Listen(IPAddress.Any, 7173, options =>
    {
        options.Protocols = HttpProtocols.Http1AndHttp2;
    });
});

计划将5005端口用于gRPC，7173端口用于REST API，使用Visual Studio 2022生成Docker支持。尝试添加HTTPS支持后问题依旧：

serverOptions.Listen(IPAddress.Any, 7173, options =>
{
    options.Protocols = HttpProtocols.Http1AndHttp2;
    options.UseHttps("appname.pfx", "password");
});

所有代码在非Docker环境下运行正常，附相关配置及容器截图：

• Docker Compose配置截图：
  
• compose-override.yaml配置截图：
  
• 容器运行状态截图：
  

可能的原因及解决方案 #

1. 容器端口映射不匹配 #

从截图可见，Docker Compose中默认映射的是5000:80、5001:443，但Kestrel配置监听的是5005和7173端口，容器内部端口与外部映射端口完全不对应，导致外部无法访问。

解决方法：
修改Docker Compose的端口映射，将外部端口对应到Kestrel配置的内部端口：

# docker-compose.yml 或 compose-override.yml
ports:
  - "5005:5005"   # gRPC端口映射
  - "7173:7173"   # REST API端口映射

若配置了HTTPS，需同步映射对应HTTPS端口。

2. Kestrel监听地址兼容性问题 #

虽然IPAddress.Any等价于0.0.0.0，但部分容器网络场景下，明确指定0.0.0.0兼容性更好，可尝试修改配置：

builder.WebHost.ConfigureKestrel(serverOptions =>
{
    serverOptions.Listen(IPAddress.Parse("0.0.0.0"), 5005, options =>
    {
        options.Protocols = HttpProtocols.Http2;
    });
    serverOptions.Listen(IPAddress.Parse("0.0.0.0"), 7173, options =>
    {
        options.Protocols = HttpProtocols.Http1AndHttp2;
    });
});

3. HTTPS证书路径问题 #

添加HTTPS时，需确保证书文件已正确复制到容器内部，且路径配置正确。

解决方法：
在Dockerfile中添加复制证书的命令：

# 假设证书放在项目根目录，复制到容器内的/app目录
COPY appname.pfx /app/appname.pfx

同时修改Kestrel配置中的证书路径为容器内路径：

options.UseHttps("/app/appname.pfx", "password");

4. 环境变量覆盖Kestrel配置 #

ASP.NET默认会读取ASPNETCORE_URLS环境变量，若该变量存在，会覆盖代码中配置的Kestrel监听地址。

解决方法：
检查Docker Compose中是否设置了该环境变量，若有则删除或修改为匹配Kestrel配置的地址：

environment:
  - ASPNETCORE_URLS=http://0.0.0.0:5005;http://0.0.0.0:7173

5. 端口访问权限问题 #

检查Windows防火墙是否允许外部访问5005、7173端口，或Docker网络配置是否限制了端口转发。

解决方法：

• 临时关闭Windows防火墙测试，若能访问则添加对应端口的入站规则。
• 确认Docker使用的bridge网络允许端口转发。

内容的提问来源于stack exchange，提问作者phusonu