如何让WCF的NetTcpBinding适配TLS，解决跨机客户端凭据被拒绝问题

问题根因 #

你遇到的The server has rejected the client credentials报错由三个配置缺失导致：

1. NetTcpBinding的SecurityMode.Transport模式默认使用Windows身份验证作为客户端凭证，跨设备运行时两台机器不在同一可信任Windows域/工作组，Windows身份验证无法通过。
2. 仅配置了TLS协议版本，没有配置TLS握手必需的服务端证书，也没有对应配置客户端的证书信任规则，TLS握手流程不完整。
3. 服务端当前监听地址绑定的是localhost，仅能接收本地请求，外部设备无法连接。

具体修改步骤 #

1. 调整绑定配置（服务端+客户端都要改） #

将传输层客户端凭证类型从默认的Windows改为无需客户端身份验证（仅保留TLS加密），如果你的场景需要验证客户端身份，可以改为TcpClientCredentialType.Certificate后续额外配置客户端证书即可。
修改后两边的绑定代码如下：

NetTcpBinding binding = new NetTcpBinding();
binding.Security.Mode = SecurityMode.Transport;
// 新增行：设置客户端凭证类型为None，不需要客户端身份验证，仅做TLS加密
binding.Security.Transport.ClientCredentialType = TcpClientCredentialType.None;
binding.Security.Transport.SslProtocols = SslProtocols.Tls12 | SslProtocols.Tls11 | SslProtocols.Tls;

2. 服务端配置TLS证书+监听地址 #

前置准备

生成一张自签名X.509证书（测试用）或申请CA颁发的正式证书，证书主题名称需和服务端的实际IP/域名一致，生成后导入到服务端的「本地计算机\个人\证书」存储区，同时给运行服务端程序的Windows账号开放该证书的私钥读取权限。

修改服务端代码

// 监听地址从localhost改为0.0.0.0，允许所有网卡的请求接入
host.AddServiceEndpoint(typeof(IMyService), binding, new Uri("net.tcp://0.0.0.0:8888/implementclass"));

// Open之前新增服务端证书配置
host.Credentials.ServiceCertificate.SetCertificate(
    StoreLocation.LocalMachine,
    StoreName.My,
    X509FindType.FindBySubjectName,
    "你的服务端证书主题名，填服务端实际IP或域名"
);

host.Open();

需要提前引用命名空间：using System.Security.Cryptography.X509Certificates;

3. 客户端配置证书信任规则 #

如果使用正式CA颁发的证书，无需额外配置，系统会自动完成信任校验。如果是测试用自签名证书，可以选择两种方案：

• 方案一：将服务端证书导入到客户端的「本地计算机\受信任的根证书颁发机构」存储区，系统会自动信任。
• 方案二：测试环境临时跳过证书校验，代码如下（生产环境禁止使用）：

// 新增在创建ChannelFactory之前，引用命名空间 using System.Net;
ServicePointManager.ServerCertificateValidationCallback = (sender, cert, chain, sslPolicyErrors) => true;

NetTcpBinding binding = new NetTcpBinding();  
// 后续原有逻辑保持不变

内容的提问来源于stack exchange，提问作者Iouri Chametka