ASP.NET 4.5 HttpWebRequest无法创建SSL/TLS安全通道 本地正常AWS服务器报错

问题产生原因 #

• 系统层面默认配置限制：Windows Server 2012的Schannel安全组件默认禁用了TLS 1.2作为客户端请求的默认协议，即使代码中指定了SecurityProtocol参数，系统层的禁用规则会优先生效，导致TLS握手失败。
• .NET Framework 4.5默认加密策略问题：.NET 4.5默认没有启用强加密配置，会优先尝试使用旧的SSL/TLS协议发起握手，如果目标API已经废弃了TLS 1.0/1.1等低版本协议，就会直接拒绝连接。
• 服务器证书信任问题：如果目标API使用的是自签名证书、内部CA签发的证书，或者证书链不完整，Windows Server 2012默认没有对应的根证书信任，也会导致TLS通道创建失败。
• 加密套件不匹配：AWS Windows Server 2012 Core默认启用的加密套件和目标API要求的加密套件没有交集，无法完成TLS握手协商。

解决方案 #

• 首先修改系统注册表启用强加密和TLS 1.2支持，以管理员身份打开命令提示符执行以下命令，执行后重启服务器生效：

reg add "HKLM\SOFTWARE\Microsoft\.NETFramework\v4.0.30319" /v SchUseStrongCrypto /t REG_DWORD /d 1 /f
reg add "HKLM\SOFTWARE\Wow6432Node\Microsoft\.NETFramework\v4.0.30319" /v SchUseStrongCrypto /t REG_DWORD /d 1 /f
reg add "HKLM\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.2\Client" /v DisabledByDefault /t REG_DWORD /d 0 /f
reg add "HKLM\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.2\Client" /v Enabled /t REG_DWORD /d 1 /f

• 调整代码配置的时机和内容：将ServicePointManager相关配置移到应用启动入口（如ASP.NET项目的Global.asax的Application_Start方法中），确保在任何HTTP请求发起前完成配置；如果目标API已不支持低版本TLS，可只保留TLS 1.2配置，降低握手失败概率：

ServicePointManager.SecurityProtocol = SecurityProtocolType.Tls12;
ServicePointManager.Expect100Continue = true;
// 仅测试阶段可临时添加以下代码跳过证书校验，生产环境不建议保留
ServicePointManager.ServerCertificateValidationCallback += (sender, cert, chain, sslPolicyErrors) => true;

• 检查IIS配置：确认部署站点的应用程序池.NET Framework版本设置为v4.0，应用程序池的启用32位应用程序配置和项目生成的目标平台一致；如果站点绑定了HTTPS，确认使用的证书有效且信任链完整。
• 验证证书和加密套件：在服务器上直接访问目标API的域名，确认证书被系统信任；如果加密套件不匹配，可通过组策略或者IIS加密套件配置工具调整加密套件顺序，添加目标API支持的加密套件。

内容的提问来源于stack exchange，提问作者Nick