ASP.NET Blazor应用旧域正常 新域访问报ERR_CONNECTION_RESET错误

1. 优先排查TLS握手链路问题 #

IE使用Windows原生SCHANNEL栈，Edge等Chromium内核浏览器自带独立TLS实现，二者加密套件、协议支持差异是此类单浏览器可访问问题的最高频诱因

• 登录新域Win2019服务器，以管理员身份打开PowerShell执行Get-TlsCipherSuite，核对启用的加密套件列表是否包含Chromium支持的现代套件（如TLS_AES_128_GCM_SHA256、TLS_AES_256_GCM_SHA384、TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384等）。如果列表全是弱套件（如基于RC4、3DES、SHA1的套件），直接通过组策略或IIS Crypto工具启用现代加密套件，重启服务器后测试。
• 定位到注册表路径HKLM\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols，确认TLS 1.2、TLS 1.3的服务端、客户端项均设置为Enabled=1，不要仅启用TLS 1.0/1.1这类被Chromium内核默认拦截的旧协议。
• 执行netsh http show sslcert ipport=0.0.0.0:5001查看5001端口绑定的HTTPS证书，核对证书哈希是否匹配预期证书，确认证书未过期、签名算法为SHA256及以上、域名匹配访问地址。如果存在绑定丢失、绑定到自签名未授信证书的情况，重新执行netsh http add sslcert ipport=0.0.0.0:5001 certhash=你的证书哈希 appid={任意合法GUID}完成绑定。

2. 排查服务器本地监听与权限问题 #

• 执行netstat -ano | findstr :5001确认端口监听状态，正常状态应为监听在0.0.0.0:5001，如果仅监听在127.0.0.1或旧域专属IP，修改Kestrel配置的监听地址为https://*:5001后重启应用。
• 本地访问时右键Edge选择「以管理员身份运行」测试，如果管理员模式下能正常访问，执行netsh http add urlacl url=https://+:5001/ users=Everyone为普通用户分配端口的监听访问权限，解决环回连接权限拦截导致的ERR_CONNECTION_CLOSED问题。
• 临时关闭服务器上的Windows Defender防火墙、第三方安全软件做最小化验证，排除安全软件针对Chromium内核进程的网络拦截——部分安全规则不会写日志，直接在内核层重置非白名单浏览器的HTTPS连接。

3. 排查域策略与协议协商问题 #

• 联系域管核对新域的GPO配置，检查是否存在针对Chromium内核浏览器的强制SSL拦截、代理配置、攻击面减少（ASR）规则，这类规则会直接中断非IE浏览器的未授信HTTPS握手，且不会在防火墙日志留下记录。可以临时将测试客户端、服务器的OU移动到无限制的测试OU，刷新组策略后验证。
• 临时修改Blazor Server的Kestrel配置，将5001端口的允许协议强制设置为仅HTTP/1.1（配置代码里设置protocols: HttpProtocols.Http1），重启应用后测试。Win2019部分旧累积补丁存在HTTP/2 over TLS协商bug，会导致Chromium内核浏览器握手成功后直接断开连接，IE因为不支持HTTP/2只会走HTTP/1.1通道所以不受影响。如果改完HTTP/1.1后访问正常，给服务器打最新的Windows累积补丁即可恢复HTTP/2支持。
• 跨域客户端测试时，临时手动指定客户端hosts文件把应用域名指向新域服务器IP，排除旧域DNS残留、跨域路由设备的连接拦截问题。

4. 排查应用自身配置适配问题 #

• 检查Blazor应用的ForwardedHeaders中间件配置，如果新域环境存在负载均衡、反向代理设备，需要正确配置转发头信任，否则Blazor依赖的WebSocket连接会被直接中断，IE会自动降级成长轮询模式加载，不会直接报连接错误。
• 临时注释应用里所有请求过滤、IP白名单、CORS限制相关的中间件代码，做最小化部署测试，排除新域环境下请求来源校验逻辑拦截非IE请求的问题。

内容的提问来源于stack exchange，提问作者PhilD