Azure应用服务托管的WCF服务无法被客户端应用服务访问如何解决

1. 确认TLS版本对齐 #

• Azure应用服务默认仅启用TLS 1.2及以上版本，.NET Framework 4.7.2虽默认支持强加密，但仍需确认两侧配置未禁用相关规则
• 可在两侧web.config的<appSettings>节点添加如下配置强制启用：

<add key="AppContext.SetSwitch:Switch.System.Net.DontEnableSchUseStrongCrypto" value="false" />
<add key="AppContext.SetSwitch:Switch.System.ServiceModel.DisableUsingServicePointManagerSecurityProtocols" value="false" />

• 也可在应用启动入口（如Global.asax的Application_Start方法）显式指定TLS版本：

System.Net.ServicePointManager.SecurityProtocol = System.Net.SecurityProtocolType.Tls12 | System.Net.SecurityProtocolType.Tls13;

2. 验证WCF绑定配置一致性 #

• 现有配置中两侧安全模式、客户端凭证类型均匹配，不存在基础配置错误
• 需注意服务端wsHttpEndpointBinding的maxReceivedMessageSize、maxBufferPoolSize配置为2GB，客户端对应配置仅为500MB，若传输 payload 超过客户端限制会触发连接断开，建议将客户端配置调整为与服务端一致
• 显式在两侧绑定配置中添加<reliableSession enabled="false" />，避免WCF默认值差异导致的会话协商失败

3. 排查自定义用户名验证逻辑 #

• 服务端配置了自定义用户名密码验证器，若验证逻辑内部抛出未捕获的异常，会直接触发传输层连接重置而非返回标准SOAP错误
• 建议在自定义验证器UserAuthentication中添加全链路日志，确认是否收到客户端请求、验证逻辑是否正常执行

4. 检查Azure应用服务网络限制 #

• 确认服务端应用服务未配置IP访问限制，已将客户端应用服务的所有出站IP加入白名单
• 若服务端启用了Web应用防火墙（WAF），需检查WAF日志是否将WCF的SOAP请求判定为攻击行为并拦截
• 可通过Azure门户服务端应用服务的「诊断和解决问题」模块，搜索「连接被重置」关键词，查看平台侧的连接失败原因

5. 证书相关验证 #

• 当前使用Azure默认azurewebsites.net域名的公开信任证书，无需额外配置服务端证书
• 若客户端自定义了证书验证回调，可临时添加如下测试代码确认是否为证书验证导致的问题（生产环境禁用）：

System.Net.ServicePointManager.ServerCertificateValidationCallback += (sender, cert, chain, error) => true;

• 现有配置中传输层客户端凭证类型为None，无需额外配置客户端证书

6. 启用WCF详细日志排查 #

• 两侧均已开启消息日志，可直接查看Azure应用服务的应用日志，确认请求是否到达服务端、是否存在WCF层面的协议错误

• 优先对齐两侧TLS配置和绑定的大小限制参数，90%以上的同类Azure WCF连接问题均由TLS版本不匹配导致
• 若调整后仍无法访问，可先部署一套和当前生产配置完全一致的最小测试服务，逐步缩小问题范围
• 若使用自定义域名部署WCF服务，需确保自定义域名的SSL证书已正确绑定到Azure应用服务，且证书链完整可被客户端信任

内容的提问来源于stack exchange，提问作者Usman