.NET 5使用MQTTNet连接AWS IOT MQTT出现Unexpected EOF错误如何解决

该报错本质是TLS握手在密钥交换阶段被AWS IoT Broker主动中断，触发根源是.NET 5与.NET Framework 4.8的运行时TLS默认策略存在差异，和MQTTNet包版本无关，常见根因如下：

• TLS加密套件优先级不兼容：.NET 5默认的加密套件启用列表、优先级规则和.NET Framework 4.8不同，AWS IoT MQTT Broker不认可客户端在密钥交换阶段提交的加密套件组合，直接断开连接。
• 证书验证逻辑更严格：.NET 5对TLS证书链的校验规则更强，若本地未导入AWS IoT根CA、或者自定义证书验证回调的返回值不符合.NET 5的校验要求，会直接终止TLS连接。
• ALPN标识缺失：.NET 5下MQTTNet默认不会主动携带MQTT对应的ALPN协议标识，而AWS IoT要求TLS握手阶段必须携带mqtt作为ALPN标识，否则会主动断开连接。

1. 强制固定TLS配置
   优先显式指定TLS 1.2版本与兼容加密套件，避免.NET 5默认策略禁用AWS IoT支持的套件：

var mqttClientOptions = new MqttClientOptionsBuilder()
    .WithTcpServer("AWS IoT 端点地址", 8883)
    .WithTlsOptions(options =>
    {
        options.UseTls = true;
        // 固定使用TLS 1.2版本，和.NET Framework默认行为对齐
        options.SslProtocol = System.Security.Authentication.SslProtocols.Tls12;
        // 手动指定AWS IoT兼容的加密套件
        options.CipherSuitesPolicy = new CipherSuitesPolicy(new[]
        {
            TlsCipherSuite.TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384,
            TlsCipherSuite.TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256,
            TlsCipherSuite.TLS_DHE_RSA_WITH_AES_256_GCM_SHA384
        });
        // 调试阶段临时开启，生产环境务必删除该配置
        options.AllowUntrustedCertificates = true;
    })
    .WithClientId("客户端ID")
    .Build();

2. 补充ALPN协议配置
   在TLS配置中显式添加MQTT对应的ALPN标识：

options.ApplicationProtocols = new List<SslApplicationProtocol>
{
    new SslApplicationProtocol("mqtt")
};

3. 校验证书配置

• 确认加载的设备证书、私钥格式正确，.NET 5对PFX证书的私钥读取权限要求更高，本地调试时需将证书导入当前用户的个人存储区，并开启私钥读取权限。
• 若部署在Windows Server环境，打开本地组策略编辑器，定位到计算机配置 > 管理模板 > 网络 > SSL配置设置，确认SSL密码套件顺序中包含上述指定的加密套件。
• 删除自定义的RemoteCertificateValidationCallback逻辑，避免回调返回值不符合.NET 5校验规则导致验证失败。

4. 回退TLS栈配置
   如果上述配置都无效，在项目文件中添加运行时开关，让.NET 5使用系统原生TLS栈，和.NET Framework 4.8行为保持一致：

<PropertyGroup>
  <RuntimeHostConfigurationOption Include="System.Net.Security.UseManagedTls" Value="false" />
</PropertyGroup>

内容的提问来源于stack exchange，提问作者Cam Downs