Windows10本地IBM MQ配置TLS1.2后C#客户端连接报错排查

已验证非托管模式、AMQSSSLC工具可正常连接，说明MQ服务端配置本身无问题，故障根因来自托管.NET客户端的TLS默认配置逻辑与非托管模式存在差异，可按以下步骤排查修复：

• 强制指定客户端最低TLS版本
  托管.NET客户端默认会优先尝试低版本TLS握手，即使服务端要求TLS1.2以上，未显式配置的情况下仍会发起TLS1.0握手，直接触发AMQ9616E报错。在应用初始化阶段、MQ连接建立前加入以下代码：

  // 可根据服务端支持情况追加Tls13参数
  System.Net.ServicePointManager.SecurityProtocol = SecurityProtocolType.Tls12 | SecurityProtocolType.Tls13;
  

• 调整Windows系统SCHANNEL加密套件优先级
  托管.NET客户端使用Windows系统自带的SCHANNEL加密套件列表，而非MQ自带的GSK套件列表，需要确认你使用的TLS_RSA_WITH_AES_128_CBC_SHA256套件处于启用且优先级靠前的位置：
  • 按下Win+R输入gpedit.msc打开组策略编辑器
  • 依次进入计算机配置 > 管理模板 > 网络 > SSL配置设置
  • 双击SSL密码套件顺序，选择「已启用」，把TLS_RSA_WITH_AES_128_CBC_SHA256移动到套件列表的靠前位置，保存后重启系统生效
• 显式传入MQ连接的SSL配置参数
  IBM MQ v9+版本的托管客户端会忽略CCDT中配置的SSLCIPH参数，需要在代码中显式传入加密套件配置：

  var mqProps = new Hashtable();
  mqProps.Add(MQC.TRANSPORT_PROPERTY, MQC.TRANSPORT_MQSERIES_MANAGED);
  mqProps.Add(MQC.SSL_CIPHER_SUITE_PROPERTY, "TLS_RSA_WITH_AES_128_CBC_SHA256");
  // 从Windows用户证书存储读取证书时需追加以下配置
  mqProps.Add(MQC.SSL_CERT_STORE_PROPERTY, "USER");
  mqProps.Add(MQC.SSL_PEER_NAME_PROPERTY, "服务端证书的CN字段值");
  

• 校验证书信任链权限
  托管模式下证书校验逻辑与非托管模式不同，需要确认服务端根证书、中间证书都已导入到当前用户或本地计算机的受信任的根证书颁发机构存储中，且证书私钥已开放读取权限给应用运行账户。

若你使用.NET Core 3.1及以上版本，除上述配置外，还需要在项目.csproj文件中添加以下配置禁用TLS版本回退：

<PropertyGroup>
  <AppContextSwitchOverrides>Switch.System.Net.DontEnableSchUseStrongCrypto=false</AppContextSwitchOverrides>
</PropertyGroup>

内容的提问来源于stack exchange，提问作者Wilko van der Veen