如何为gRPC .NET创建含IP SANs的证书？解决证书验证失败问题

什么是SAN？ #

SAN（Subject Alternative Name，主题备用名称）是X.509证书的扩展字段，用于明确指定该证书可验证的身份标识，支持IP地址、域名、邮箱等多种类型。

现代TLS客户端（包括gRPC、主流浏览器）早已不再仅依赖证书的CN（通用名称）字段做身份校验——即使你把服务器IP填在CN里，也会因为缺少SAN字段的明确声明而触发验证失败，这就是你遇到Cannot validate certificate for x.x.x.x because it doesn't contain any IP SANs错误的原因。

如何创建包含IP SAN的证书？ #

方法1：用OpenSSL生成自签名证书（通用场景） #

1. 先创建一个配置文件（比如命名为grpc-cert.conf），内容如下：

[req]
default_bits = 2048
prompt = no
default_md = sha256
distinguished_name = dn
req_extensions = req_ext

[dn]
C = CN
ST = 你的省份
L = 你的城市
O = 你的组织
OU = 你的部门
CN = x.x.x.x  # 填写你的服务器IP

[req_ext]
subjectAltName = @alt_names

[alt_names]
IP.1 = x.x.x.x  # 要添加到SAN的服务器IP，可添加多个，比如IP.2=192.168.1.100

2. 生成私钥和证书签名请求：

openssl req -new -nodes -keyout grpc-server.key -out grpc-server.csr -config grpc-cert.conf

3. 生成自签名证书：

openssl x509 -req -days 365 -in grpc-server.csr -signkey grpc-server.key -out grpc-server.crt -extensions req_ext -extfile grpc-cert.conf

方法2：用.NET命令生成开发环境证书（快速便捷） #

如果是本地开发测试，直接用dotnet dev-certs命令一键生成带IP SAN的可信证书：

# 先清理旧的HTTPS证书
dotnet dev-certs https --clean
# 生成带指定IP的HTTPS证书，自动信任
dotnet dev-certs https -ep $HOME/.aspnet/https/grpc-server.pfx -p 你的证书密码 --trust --ip x.x.x.x

生成的证书会自动被系统信任，无需手动导入。

在.NET 6 gRPC服务中配置证书 #

在Program.cs里配置Kestrel使用生成的证书：

builder.WebHost.ConfigureKestrel(options =>
{
    // 监听5001端口（gRPC默认HTTPS端口）
    options.ListenAnyIP(5001, listenOptions =>
    {
        // 如果用crt+key文件
        listenOptions.UseHttps("grpc-server.crt", "grpc-server.key");
        // 如果用PFX文件，替换为下面一行
        // listenOptions.UseHttps("grpc-server.pfx", "你的证书密码");
    });
});

配置完成后，再用grpcui连接HTTPS地址即可正常验证证书。

内容的提问来源于stack exchange，提问作者Álvaro García