Docker部署.Net Core 3.1 API网关5000端口SSL配置失效求助

核心问题由配置不匹配导致，可按以下步骤修复：

• 你当前Kestrel的监听配置完全不匹配需求：
  • 5000端口绑定了IPAddress.Loopback（仅容器内部127.0.0.1可访问，外部流量进不来），且该端口配置的是HTTP协议，不是HTTPS
  • HTTPS配置仅绑定了443端口的Loopback地址，既没有对外暴露也和你要用到的5000端口无关
• 未将PFX证书文件挂载到Docker容器内，代码中指定的证书路径容器无法读取

第一步：修改Kestrel配置 #

调整监听规则，直接将HTTPS绑定到容器0.0.0.0地址的5000端口：

public static IWebHostBuilder CreateWebHostBuilder(string[] args) =>
    WebHost.CreateDefaultBuilder(args)
        .ConfigureAppConfiguration((host, config) => {
            config.AddJsonFile($"configuration.{host.HostingEnvironment.EnvironmentName}.json");
        })
        .UseKestrel(options =>
        {
            // 绑定全网络地址的5000端口为HTTPS，适配Docker外部访问
            options.Listen(IPAddress.Any, 5000, listenOptions =>
            {
                listenOptions.UseHttps("/app/ssl/api.fabrikam.com.pfx", "你的证书实际密码");
            });
            // 不需要的80、443端口监听规则可直接删除，避免端口冲突
        })
        .UseStartup<Startup>();

如果你的应用在容器内的工作目录不是/app，自行调整证书路径即可。

第二步：修改Docker启动命令，挂载证书目录 #

假设你宿主机上证书存放在/data/ssl/api.fabrikam.com.pfx，修改后的启动命令如下：

docker run \
  -e ASPNETCORE_ENVIRONMENT='Production' \
  -v /data/ssl:/app/ssl \
  -d -p 5000:5000 \
  123456.dkr.ecr.eu-central-1.amazonaws.com/gateway:latest

第三步：验证配置生效 #

• 检查宿主机安全组/防火墙是否开放5000端口的入站规则
• 容器启动后执行docker logs 容器ID确认无证书读取失败、端口占用等报错
• 访问https://api.fabrikam.com:5000时确认证书是有效签发的，若为自签证书需要客户端手动信任

内容的提问来源于stack exchange，提问作者MonkeyDLuffy