.NET 4.6应用TLS协商异常：仍用TLS 1.0而非自动适配TLS 1.2

嘿，我之前处理过几乎一模一样的问题，给你几个实用的排查和解决思路：

.NET Framework 4.6理论上确实会自动协商最高可用的TLS版本，但WCF服务的配置或者系统层面的限制，经常会让这个“自动”失效。结合你用Fiddler排查的情况，可以按下面的步骤来：

1. 先给代码加个“强制开关” #

虽然4.6支持自动协商，但有时候显式指定安全协议能直接解决问题。把这段代码放在所有网络请求（包括WCF客户端初始化）之前执行：

System.Net.ServicePointManager.SecurityProtocol = 
    SecurityProtocolType.Tls12 | SecurityProtocolType.Tls13;

比如在控制台应用的Main方法第一行，或者WCF服务启动的入口代码里。这样能确保应用优先使用高版本TLS。

2. 检查WCF绑定的安全配置 #

WCF的绑定可能偷偷限制了协议版本，打开你的app.config（控制台）或web.config（WCF服务），找一下绑定配置。如果是basicHttpBinding或者wsHttpBinding，看看有没有硬编码的安全设置，比如：

<bindings>
  <basicHttpBinding>
    <binding name="ExternalServiceBinding">
      <security mode="Transport">
        <transport clientCredentialType="None" />
      </security>
    </binding>
  </basicHttpBinding>
</bindings>

可以尝试在绑定里显式指定TLS版本，或者用代码动态设置：

var binding = new BasicHttpBinding(BasicHttpSecurityMode.Transport);
binding.Security.Transport.TlsClientCredential.SslProtocols = 
    SslProtocols.Tls12 | SslProtocols.Tls13;
// 然后用这个绑定初始化WCF客户端

3. 系统注册表的“隐形限制” #

有时候服务器的系统设置会禁用TLS1.2，即使.NET支持也没用。你可以检查一下注册表项：

• 打开注册表编辑器，定位到HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.2\Client
• 确保Enabled的值是1（DWORD类型），DisabledByDefault是0
• 如果需要TLS1.3，同样检查对应的TLS 1.3\Client项

修改后记得重启服务器，让设置生效。

4. 用Fiddler深挖细节 #

既然已经抓了包，重点看这几个地方：

• 查看请求的ClientHello握手包，确认客户端发送的支持协议列表里有没有TLS1.2/1.3
• 区分控制台应用的请求和WCF服务向外发起的请求，看看是不是只有WCF那边用了TLS1.0
• 排查有没有代理、防火墙或者中间服务器修改了请求的协议版本

5. 别忘了更.NET补丁 #

虽然是4.6版本，但有些旧的.NET Framework补丁存在自动协商的bug，安装最新的累积更新后，很多类似的问题都会自动消失。

最后，每改一个配置都要重启应用，然后用Fiddler重新抓包验证，直到看到TLS1.2的请求为止。

内容的提问来源于stack exchange，提问作者David