树莓派运行.NET Core 5 Web API访问报ERR_SSL_VERSION_OR_CIPHER_MISMATCH错误

• TLS版本与密码套件不兼容：Windows系统自带的SCHANNEL安全提供程序默认兼容更多历史TLS版本和密码套件，而树莓派OS（Debian系）依赖的OpenSSL默认配置通常禁用了安全性较低的旧密码套件，同时.NET 5 Kestrel在Linux平台的默认TLS配置与Windows存在差异，导致SSL握手阶段无法协商出客户端和服务端都支持的密码套件，触发ERR_SSL_VERSION_OR_CIPHER_MISMATCH报错。
• 证书链不完整：Windows会自动补全缺失的根/中级证书链，而树莓派系统中如果没有安装你PFX证书对应的根证书、中级证书，也会导致SSL握手失败抛出该错误。
• PFX证书格式适配问题：部分在Windows上生成的PFX证书使用了Linux OpenSSL不支持的加密算法存储私钥，导致Kestrel虽然能加载证书，但是无法正常完成SSL握手。

1. 显式配置Kestrel的TLS版本和兼容密码套件 #

修改你的Kestrel配置代码，手动指定兼容的TLS版本和密码套件列表，适配树莓派的OpenSSL环境，该配置不会影响Windows平台的正常运行：

public static IWebHost BuildWebHost( string[] args ) =>
WebHost.CreateDefaultBuilder( args ).UseKestrel( options =>
{
   options.Listen( IPAddress.Parse( args[ 0 ] ), int.Parse( args[ 1 ] ), listenOptions =>
   {
      listenOptions.UseHttps(MY_PFX_FILE, MY_CERT_PASS, httpsOpts => {
          // 显式指定兼容的TLS版本，可根据安全需求调整
          httpsOpts.SslProtocols = System.Security.Authentication.SslProtocols.Tls12 | System.Security.Authentication.SslProtocols.Tls13;
          // 手动配置兼容的密码套件列表，需要先引用NuGet包 System.Security.Cryptography.OpenSsl
          httpsOpts.CipherSuitesPolicy = new System.Net.Security.CipherSuitesPolicy(new[]
          {
              System.Net.Security.TlsCipherSuite.TLS_AES_256_GCM_SHA384,
              System.Net.Security.TlsCipherSuite.TLS_AES_128_GCM_SHA256,
              System.Net.Security.TlsCipherSuite.TLS_ECDHE_ECDSA_WITH_AES_256_GCM_SHA384,
              System.Net.Security.TlsCipherSuite.TLS_ECDHE_ECDSA_WITH_AES_128_GCM_SHA256,
              System.Net.Security.TlsCipherSuite.TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384,
              System.Net.Security.TlsCipherSuite.TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256
          });
      });
   });
} )
.UseStartup<StartupApi>()
.Build();

2. 补全树莓派系统的根证书链 #

• 将PFX证书对应的根证书、中级证书导出为CRT格式，上传到树莓派的/usr/local/share/ca-certificates/目录下
• 执行命令sudo update-ca-certificates更新系统根证书存储

3. 转换为OpenSSL兼容的PFX证书格式 #

如果是证书本身的存储格式不兼容，可以通过以下OpenSSL命令重新生成适配Linux环境的PFX证书：

# 从原有PFX导出私钥和公钥
openssl pkcs12 -in your_old_cert.pfx -nocerts -out private_key.pem -nodes
openssl pkcs12 -in your_old_cert.pfx -nokeys -out public_cert.pem
# 重新生成兼容的PFX证书
openssl pkcs12 -export -in public_cert.pem -inkey private_key.pem -out new_compatible_cert.pfx

4. 验证OpenSSL配置 #

检查树莓派的/etc/ssl/openssl.cnf文件，确认没有禁用你配置的TLS版本和对应密码套件，较新的树莓派OS默认禁用了安全性低的TLS 1.0/1.1，非必要不建议手动启用旧版本协议。

内容的提问来源于stack exchange，提问作者Brad Y.