Win7下.NET Core 3.1使用RabbitMQ.Client 6.1连接Amazon MQ报SSL认证失败

• 运行环境：基于.NET Core 3.1 + RabbitMQ.Client 6.1开发的自包含应用，目标连接服务为Amazon MQ（RabbitMQ）
• 现象差异：相同应用在Windows 10设备上可正常建立amqps加密连接，在Windows 7设备上连接失败
• 核心连接代码：

factory = new ConnectionFactory
{
    HostName = "amqps://xxxxxxxxxxxxxxxx.amazonaws.com",
    UserName = "username",
    Password = "password",
    Port = 5671
};

factory.Uri = new Uri(string.Format("{0}:{1}", factory.HostName, factory.Port));
connection = factory.CreateConnection();

• 运行报错核心堆栈：

[ERR] Could not make connection to RabbitMQ on Amazon MQ
RabbitMQ.Client.Exceptions.BrokerUnreachableException: None of the specified endpoints were reachable
 --> System.AggregateException: One or more errors occurred. (Authentication failed, see inner exception.)
 --> System.Security.Authentication.AuthenticationException: Authentication failed, see inner exception.
 --> System.ComponentModel.Win32Exception (0x80090302): The function requested is not supported
   （堆栈链路：System.Net.Security.SslStream 客户端认证环节失败 -> RabbitMQ.Client 端TLS升级流程中断）

• 已完成排查：关闭系统防火墙、配置应用入站/出站网络规则，均未定位到故障点

故障与网络连通性、防火墙规则无关，核心诱因分为两层：

• Windows 7原生系统对现代TLS协议的支持不全
  Amazon MQ的amqps端点默认禁用TLS 1.0/1.1，仅支持TLS 1.2及以上协议版本；Windows 7默认的Schannel安全通道组件未默认开启TLS 1.2支持，且缺少现代加密套件，会在TLS握手阶段直接返回0x80090302（请求的功能不受支持）的系统错误，导致SslStream认证流程中断。
• 原有连接配置存在格式错误
  代码中将带amqps://协议前缀的字符串直接赋值给ConnectionFactory的HostName属性，又手动拼接端口生成Uri，会导致RabbitMQ.Client无法正确识别SSL配置、无法正确设置TLS握手阶段的服务名校验信息，放大连接失败概率。

• 第一步：修正ConnectionFactory的配置逻辑，去掉手动Uri拼接
  按照RabbitMQ.Client的标准配置方式，将主机名（不带协议前缀）单独赋值，显式开启SSL选项，避免配置解析错误：

  var factory = new ConnectionFactory
  {
      UserName = "username",
      Password = "password",
      Port = 5671,
      HostName = "xxxxxxxxxxxxxxxx.amazonaws.com", // 填写实际Amazon MQ主机名，不带amqps://前缀
      Ssl =
      {
          Enabled = true,
          ServerName = "xxxxxxxxxxxxxxxx.amazonaws.com" // 与主机名保持一致，用于TLS证书校验
      }
  };
  // 无需手动为factory.Uri赋值，组件会自动根据上述配置生成合法连接地址
  connection = factory.CreateConnection();
  

• 第二步：在应用启动阶段强制启用TLS 1.2支持
  在创建RabbitMQ连接之前，增加全局TLS协议配置，跳过系统默认的协议版本协商逻辑：

  // 强制启用TLS 1.2，适配Windows 7环境的TLS握手要求
  System.Net.ServicePointManager.SecurityProtocol |= SecurityProtocolType.Tls12;
  

• 第三步：补齐Windows 7目标设备的系统补丁
  安装Windows 7对应版本的TLS 1.2支持补丁，确保系统Schannel组件具备Amazon MQ所需的现代加密套件，避免出现加密套件不匹配导致的握手失败。

内容的提问来源于stack exchange，提问作者Projector