使用SmtpClient以TLS 1.2向Microsoft 365发送未认证邮件失败求助

问题核心原因 #

Windows Server 2016 与 Windows 11 的 .NET Framework 4.8 默认安全策略、SCHANNEL 加密套件配置存在差异，System.Net.Mail.SmtpClient 的 EnableSsl 参数依赖服务端 SMTP 响应的 STARTTLS 扩展协商逻辑，同时你现有代码中安全协议的设置时机、配置项参数存在优先级冲突。

可行解决方案 #

• 调整 web.config 全局安全策略配置
  在 web.config 的 <configuration> 下新增 <runtime> 节点配置，让 .NET Framework 优先调用系统默认的 TLS 版本策略，不需要硬编码指定 TLS 1.2：

  <runtime>
    <AppContextSwitchOverrides value="Switch.System.Net.DontEnableSchUseStrongCrypto=false;Switch.System.Net.DontEnableSystemDefaultTlsVersions=false" />
  </runtime>
  

  同时调整 SMTP 配置节点，删除多余的 defaultCredentials="true" 参数（你使用的是 IP 白名单中继，不需要传递 Windows 身份凭据，该参数会触发不必要的协商步骤）：

  <system.net>
    <mailSettings>
      <smtp deliveryMethod="Network">
        <network host="mydomain-com.mail.protection.outlook.com" port="25" enableSsl="true" />
      </smtp>
    </mailSettings>
  </system.net>
  

• 修正代码中安全协议的设置逻辑
  建议删除发信代码中 ServicePointManager.SecurityProtocol = SecurityProtocolType.Tls12; 这一行，直接使用 web.config 配置的系统默认 TLS 策略。如果需要保留硬编码，将该行移到应用启动入口（Global.asax 的 Application_Start 事件中）全局设置，不要在每次发信时重复修改，且必须放在 SmtpClient 实例化之前执行。
• 验证服务器 SCHANNEL TLS 1.2 配置
  打开注册表编辑器，定位到路径 HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.2\Client，确认存在以下两个 DWORD 类型值：
  • DisabledByDefault = 0
  • Enabled = 1
    如无对应路径或参数可手动创建，修改完成后重启服务器生效。
• 排查中间设备拦截问题
  部分网关、邮件过滤设备会篡改 SMTP 响应包，摘除 STARTTLS 扩展标识，导致客户端判断服务端不支持加密连接。你可以在服务器上通过 PowerShell 验证：

  Test-NetConnection mydomain-com.mail.protection.outlook.com -Port 25
  

  端口连通后手动输入 EHLO test.com，查看返回的响应头中是否存在 250-STARTTLS 项，如果不存在需要调整网络设备的 SMTP 过滤规则。

内容的提问来源于stack exchange，提问作者davidthegrey