Windows Server 2012 R2下C#调用HTTPS接口报SSL/TLS通道创建错误

根因定位方向 #

• 首先确认应用依赖的.NET Framework版本：.NET Framework 4.5 及以下版本默认未启用TLS 1.2支持，4.6及以上版本才会默认开启TLS 1.2作为可用协议
• 其次验证Windows Server 2012 R2系统层面的Schannel协议配置：该系统虽然原生支持TLS 1.2，但默认未将TLS 1.2设为客户端发起请求的默认启用协议，近期的系统更新可能会重置相关配置
• 最后排查系统证书链与加密套件兼容性：Postman自带独立的根证书库与加密套件列表，和系统级.NET运行时使用的配置不互通，无法作为系统配置正常的唯一依据

1. 代码兼容优化 #

如果当前应用基于.NET Framework 4.5~4.5.2版本编译，除了现有配置外，建议新增运行时配置：
在app.config/web.config文件的<runtime>节点下添加如下配置：

<AppContextSwitchOverrides value="Switch.System.Net.DontEnableSchUseStrongCrypto=false" />

如果使用.NET Framework 4.6及以上版本，可在代码中扩展安全协议兼容范围，避免硬编码限制：

ServicePointManager.SecurityProtocol = SecurityProtocolType.Tls12 | SecurityProtocolType.SystemDefault;

2. 操作系统层面强制开启TLS 1.2支持 #

需要在操作系统层面做额外配置，修改以下注册表项，修改完成后重启服务器生效：

Schannel协议配置 #

定位到路径 HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.2\Client（如果路径不存在手动新建对应项），新建两个DWORD值：

• DisabledByDefault 赋值为 0
• Enabled 赋值为 1

.NET Framework强加密配置 #

分别定位到32位和64位.NET运行时配置路径，两个路径下都需要新增DWORD值SchUseStrongCrypto，赋值为1：

• 64位路径：HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\.NETFramework\v4.0.30319
• 32位路径：HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\Microsoft\.NETFramework\v4.0.30319

3. 证书与加密套件兼容性排查 #

• 使用系统自带的IE/Edge浏览器访问远程HTTPS端点地址，如果弹出证书不信任提示，将对应根证书导入到「本地计算机-受信任的根证书颁发机构」存储区
• 若仍报错，可通过组策略调整系统TLS加密套件优先级，将远程服务支持的TLS 1.2加密套件调整到列表前列，避免因加密套件不匹配导致握手失败

内容的提问来源于stack exchange，提问作者Yossi G.