.NET Core 3.1调用自签名HTTPS端点超时但curl正常问题求助

超时100秒触发的原因 #

你设置的HttpClient.Timeout是整个请求的全局超时，但.NET Core 3.1在Linux环境下默认使用的SocketsHttpHandler存在独立的SSL握手超时规则，默认值为100秒。当SSL握手阶段出现阻塞时，会优先触发这个独立超时抛出TaskCanceledException，所以不会走到你配置的60秒全局超时。

curl正常但HttpClient报错的原因 #

两种请求工具的网络请求特征存在差异，常见触发原因如下：

• TLS协议/密码套件协商失败：.NET Core 3.1默认仅启用TLS 1.2、TLS 1.3协议，如果你的HTTPS端点仅支持TLS 1.1及更低版本，会出现协商失败；同时Linux系统OpenSSL全局配置的可用密码套件和curl内置的套件列表存在差异，也可能导致协商失败。
• 七层防火墙拦截：即使网络层面连通，很多下一代防火墙会做应用层特征过滤，会根据User-Agent、TLS握手的ClientHello扩展特征、请求头字段等规则放行/拦截流量，curl和.NET HttpClient的特征存在明显差异，完全可能出现放行curl、拦截.NET请求的情况。
• SNI配置问题：部分服务端要求请求携带SNI扩展，默认配置下.NET HttpClient在部分场景下可能未正确发送SNI，导致服务端不响应握手请求。

• 首先模拟.NET的请求特征用curl测试，确认是否是特征拦截问题：

  curl -A ".NET HttpClient/3.1" -u user:password -k https://my-endpoint.com/path/
  

  如果该命令也出现超时，说明是防火墙基于特征拦截了请求，需要联系运维调整防火墙规则。
• 替换HttpClientHandler为SocketsHttpHandler，显式配置TLS选项和握手超时：

  class Program {
      static async Task Main(string[] args)
      {
          const string url = "https://my-endpoint.com/path/";
          const string basicAuth = "user:password";
          
          // 改用SocketsHttpHandler获得更灵活的配置能力
          var httpHandler = new SocketsHttpHandler
          {
              ServerCertificateCustomValidationCallback = 
                  (message, cert, chain, sslPolicyErrors) => true,
              SslOptions = new System.Net.Security.SslClientAuthenticationOptions
              {
                  // 显式指定支持的TLS协议版本，可根据服务端实际支持情况调整
                  EnabledSslProtocols = System.Security.Authentication.SslProtocols.Tls11 | 
                                      System.Security.Authentication.SslProtocols.Tls12 | 
                                      System.Security.Authentication.SslProtocols.Tls13,
              },
              // 连接+SSL握手超时设置为30秒，小于全局超时
              ConnectTimeout = TimeSpan.FromSeconds(30)
          };
  
          HttpClient httpClient = new HttpClient(httpHandler);            
          var authHeader = new System.Net.Http.Headers.AuthenticationHeaderValue("Basic",
              Convert.ToBase64String(System.Text.Encoding.UTF8.GetBytes(basicAuth)));
          httpClient.DefaultRequestHeaders.Authorization = authHeader;
          httpClient.Timeout = TimeSpan.FromSeconds(60);
  
          System.Diagnostics.Stopwatch watch = null;
          try
          {
              watch = System.Diagnostics.Stopwatch.StartNew();
              var result = await httpClient.GetAsync(url);
              watch.Stop();
              Console.WriteLine($"Took {watch.ElapsedMilliseconds} milliseconds");
              Console.WriteLine(await result.Content.ReadAsStringAsync());
          }
          catch (Exception e)
          {
              watch?.Stop();
              Console.WriteLine($"Took {watch?.ElapsedMilliseconds} milliseconds");
              throw;
          }
      }
  }
  

• 开启.NET网络调试日志定位具体握手问题：运行程序前设置环境变量DOTNET_SYSTEM_NET_HTTP_LOGGING=Information，可以看到TLS握手的具体阶段，确认是协商失败还是未收到服务端响应。
• 检查Ubuntu 18.04的OpenSSL配置：查看/etc/ssl/openssl.cnf中是否禁用了服务端需要的TLS协议或密码套件。

内容的提问来源于stack exchange，提问作者Floris Smit