EC2上C#控制台应用通过Snowflake .NET连接器连接数据库超时问题

问题根因 #

你遇到的Request reach its timeout是表层报错，底层核心问题是EC2实例的.NET运行环境无法完成Snowflake服务端的SSL证书校验，从日志中The remote certificate is invalid according to the validation procedure的报错可以确认：TCP 443端口连通正常，但SSL握手阶段证书验证失败导致连接中断，最终抛出超时异常。

解决方案 #

按优先级依次排查：

• 修正Privatelink场景下的连接字符串account参数
  你使用的是Snowflake PrivateLink私有端点，account参数不能仅填写账户名，必须匹配私有端点的前缀，格式为<账户标识>.<区域>.privatelink。比如你的测试端点是xxxx.eu-west-1.privatelink.snowflakecomputing.com，则连接字符串中的account字段应该填写xxxx.eu-west-1.privatelink，如果填写错误会导致访问域名与证书SAN不匹配，触发校验失败。
• 更新EC2实例的根证书库
  Snowflake的SSL证书由DigiCert签发，若EC2实例根证书库未包含DigiCert的根证书会导致校验失败：
  • Windows EC2：打开证书管理器certmgr.msc，查看「受信任的根证书颁发机构」存储中是否存在DigiCert Global Root G2、DigiCert Global Root CA，缺失可手动下载导入或执行Windows系统更新补全根证书列表。
  • Linux EC2：执行对应命令更新CA证书包：

    # Debian/Ubuntu系
    sudo apt update && sudo apt install ca-certificates -y
    # RHEL/CentOS系
    sudo yum install ca-certificates -y
    

• 强制指定TLS 1.2版本
  Snowflake要求连接必须使用TLS 1.2及以上版本，若你使用的是.NET Framework 4.5及更低版本，默认未开启TLS 1.2，需要在代码开头、建立连接前添加如下配置：

  System.Net.ServicePointManager.SecurityProtocol = System.Net.SecurityProtocolType.Tls12;
  

• 临时校验定位（仅测试使用，禁止在生产环境配置）
  可以临时添加跳过证书校验的代码，确认是否为证书校验导致的问题：

  // 写在conn.Open()之前
  System.Net.ServicePointManager.ServerCertificateValidationCallback = (sender, cert, chain, sslPolicyErrors) => true;
  

  若添加后可正常连接，即可100%确认问题出在证书校验环节，再按上述方案修复即可。

内容的提问来源于stack exchange，提问作者sameer A