如何为TcpClient实现证书固定，仅允许指定客户端接入公网非HTTP TCP服务

现有代码问题修正 #

你当前的服务端代码存在逻辑问题：如果你使用的是自签服务器证书，系统默认信任根列表中不存在你对应的自签根CA，cert.Verify()会直接校验失败抛出异常，建议删除这一步校验，或者手动指定你自己的根CA完成服务器证书有效性校验。
你当前的代码块参考：

private SslStream GetSslStream(TcpClient client, string certificateFile)
{
    var c = X509Certificate.CreateFromCertFile(certificateFile);
    var cert = new X509Certificate2(c);
    if (!cert.Verify()) {
        throw new Exception("Certificate failed verification");
    }
    var stream = new SslStream(client.GetStream(), false, VerifyClientCert);
    stream.AuthenticateAsServer(cert, true, true);
    return stream;
}

问题3：客户端证书的来源 #

你需要自行生成自签根CA（证书颁发机构），用该根CA分别签发独立的服务器证书和客户端证书，不能直接复用服务器证书作为客户端证书：

• 自签根CA证书仅用于签发子证书，不要直接用于服务端或客户端的TLS握手
• 服务器证书由根CA签发，用于服务端向客户端证明自身身份
• 客户端证书同样由同一个根CA签发，只要是该根CA签发的证书都可以被服务端识别

问题4：VerifyClientCert校验逻辑 #

你的场景仅需要做授权访问控制的话，按优先级完成以下校验即可，不需要额外步骤：

1. 手动校验客户端证书的证书链是否锚定到你自己的自签根CA，不要直接调用系统默认的Verify()方法（自签证书系统默认不信任，会直接返回失败）
2. 校验证书有效期，确认证书未过期也未到生效时间
3. 校验证书的Thumbprint（缩略图）是否在你预先维护的授权客户端缩略图白名单中

补充说明：如果你确认你的自签根CA只会给授权的客户端签发证书，也可以省略Thumbprint校验，只要证书是你的根CA签发的就允许访问，后续新增客户端不需要修改服务端代码，仅需要用根CA签发新证书即可，灵活度更高。

问题5：客户端证书分发规则 #

两种方案均可，根据你的运维需求选择即可：

• 如果授权客户端数量少，不需要做单独的客户端身份溯源、也不需要单独吊销单个客户端权限，可以给所有授权客户端分发同一份客户端证书，维护成本最低
• 如果需要区分不同客户端身份、或者未来有单独吊销某一个客户端访问权限的需求，就给每个客户端单独签发独立的客户端证书，同时服务端维护证书吊销列表（CRL）或者单独维护允许访问的Thumbprint白名单即可。

内容的提问来源于stack exchange，提问作者Mason Wheeler