单台PC运行VB.NET 2010应用调用HTTPS SOAP服务出现SSL/TLS证书错误

报错信息：Could not establish secure channel for SSL/TLS with authority....
抓包特征：设备主动请求/msdownload/update/v3/static/trustedr/en/authrootstl.cab，该请求由Windows根证书自动更新机制触发，请求失败会直接导致HTTPS证书链验证不通过。

1. 根证书验证故障排查 #

• 手动导入目标服务根证书：在可正常访问服务的设备上，打开浏览器访问SOAP服务地址，导出证书链最顶部的CA根证书，拷贝到故障Win7设备后，双击安装到「本地计算机」的「受信任的根证书颁发机构」存储区，安装完成后重启应用测试。
• 检查SHA2签名证书支持：确认Win7设备已安装KB3033929补丁，该补丁是Win7识别SHA2签名证书的必需组件，未安装可手动下载离线包安装后重启系统。
• 禁用自动根证书更新验证：打开本地组策略编辑器（运行输入gpedit.msc），依次定位到「计算机配置 > 管理模板 > 系统 > Internet通信管理 > Internet通信设置」，将「关闭自动根证书更新」设置为「已启用」，重启设备后测试，确认是否为根证书拉取失败导致的问题。

2. TLS版本兼容问题排查 #

• 强制应用启用高版本TLS：VB.NET 2010默认目标框架为.NET Framework 4.0，默认仅支持TLS1.0/SSL3.0，新服务大概率已弃用低版本TLS。可在应用启动入口添加以下代码：

  ' 192=TLS1.0、768=TLS1.1、3072=TLS1.2，按需组合启用
  System.Net.ServicePointManager.SecurityProtocol = DirectCast(3072 Or 768 Or 192, System.Net.SecurityProtocolType)
  

  若不想修改代码，可修改应用目录下的app.config，在<runtime>节点下添加配置：

  <AppContextSwitchOverrides value="Switch.System.Net.DontEnableSchUseStrongCrypto=false"/>
  

• 确认系统级TLS版本启用状态：打开注册表编辑器（运行输入regedit），定位到HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols，检查TLS1.1、TLS1.2节点下的Client子项，确保Enabled值为1、DisabledByDefault值为0，无对应项可手动创建，修改后重启系统生效。

3. 旧配置残留冲突排查 #

• 清理用户级旧配置：删除%AppData%\[应用厂商名]\[应用名].exe_Url_*目录下所有旧版本生成的user.config文件，避免用户配置覆盖全局配置。
• 核对应用全局配置：对比故障设备和正常设备上应用安装目录下的[应用名].exe.config文件，确认<system.serviceModel>、<webServices>节点下的绑定配置、端点地址与新服务地址完全一致，无旧服务残留配置。
• 清除旧证书缓存：分别打开当前用户证书管理器（运行输入certmgr.msc）和本地计算机证书管理器（运行输入certlm.msc），搜索旧服务域名、旧服务证书相关的条目，全部删除后重新测试。

内容的提问来源于stack exchange，提问作者E_Blue