RestSharp集成Zscaler在IIS Server 2012 R2上无法正常运行

RestSharp 105.2.3版本默认行为、Windows Server 2012 R2 IIS环境特性，和Zscaler切换的适配要求不匹配是故障核心，共3个高频遗漏配置点：

• 105.x分支的RestSharp默认自动读取系统WinHTTP/WinINET代理配置，手动移除代码中的旧代理配置后，如果不显式将RestClient的Proxy属性置空，请求会自动继承服务器上残留的旧代理组策略配置、或未更新的系统代理规则，走到已下线的旧代理节点导致失败。本地开发机因为系统代理配置已同步Zscaler规则、或无残留代理配置，因此调试正常。
• TLS协议配置时机错误。当前代码在实例化RestClient之后才设置ServicePointManager.SecurityProtocol，IIS运行时应用池启动阶段就会初始化网络连接栈，晚于该时机设置TLS版本会导致首次请求仍使用系统默认的TLS1.0/1.1协议，而Zscaler接入端普遍强制要求TLS1.2及以上版本，Windows Server 2012 R2默认未全局开启TLS1.2为网络请求默认协议，会直接握手失败。
• SSL证书信任校验失败。Zscaler作为SSL代理会替换访问目标的站点证书，如果IIS服务器的本地计算机（非当前登录用户）受信任根证书存储未导入Zscaler根证书，请求会被SSL校验逻辑拦截。本地开发机因为安装Zscaler客户端时自动导入了对应根证书，因此无该问题。

1. 显式控制RestSharp代理逻辑
   如果Zscaler为透明网关接入模式，不需要手动指定代理，直接在实例化RestClient后加一行rc.Proxy = Nothing强制跳过系统代理读取；如果需要走Zscaler本地代理端口，就显式指定Proxy为Zscaler的本地监听地址（通常为http://127.0.0.1:自定义端口，以公司Zscaler配置为准），不要依赖默认系统代理读取。
2. 调整TLS配置时机
   把ServicePointManager.SecurityProtocol = SecurityProtocolType.Tls12写到Global.asax的Application_Start方法里，确保所有网络请求初始化前就完成TLS版本设置，不要写在单次接口请求的逻辑内部。
3. 校验服务器证书配置
   登录IIS服务器，打开本地计算机账户的证书管理器，确认受信任的根证书颁发机构存储里已经导入公司Zscaler的根证书，不要仅给当前登录用户导入。
4. 补充异常捕获逻辑
   当前代码未判断请求异常和响应状态码，部署后无法快速定位问题，需增加错误判断分支输出错误详情。

' 注意：以下TLS配置行需移到Global.asax的Application_Start中，不要放在单次请求逻辑里
ServicePointManager.SecurityProtocol = SecurityProtocolType.Tls12

Dim js As New System.Web.Script.Serialization.JavaScriptSerializer
Dim utils As New Utilities.Common
Dim rc As RestSharp.RestClient
rc = New RestSharp.RestClient("https://www.someendpointurl")
' 透明接入Zscaler场景下显式禁用系统代理读取
rc.Proxy = Nothing
' 需显式指定Zscaler本地代理时替换上一行，示例如下：
' rc.Proxy = New WebProxy("http://127.0.0.1:Zscaler本地监听端口", True)

Dim rr As New RestSharp.RestRequest(RestSharp.Method.POST)
rr.AddHeader("Authorization", "Basic " & RetrieveTokens("MSIC"))
Dim rs As New RestSharp.RestResponse()
rs = rc.Execute(rr)

' 增加错误判断，便于部署后排查问题
If rs.ErrorException IsNot Nothing Then
    Throw New Exception($"请求失败：{rs.ErrorException.Message}, 响应状态码：{rs.StatusCode}")
End If

dctValues = js.Deserialize(Of Dictionary(Of String, String))(rs.Content)

• 确认IIS应用池运行身份有网络访问权限，可临时切换为Network Service验证是否为权限导致的故障。
• 在服务器本地用浏览器访问目标接口地址，确认服务器本身能正常连通Zscaler和目标端点，排除防火墙、组策略拦截问题。

内容的提问来源于stack exchange，提问作者steveyT