.NET 4.6 MVC5应用间歇性SSL/TLS安全通道创建失败求助

我之前在Azure App Service上部署.NET应用时，也碰到过类似的偶发SSL/TLS连接失败问题，结合你的场景（.NET 4.6 MVC5、OAuth调用REST API、重启解决、QA无问题），给你几个实用的排查和解决方向：

一、显式强制指定TLS 1.2及优化连接池设置 #

虽然.NET 4.6默认应该优先使用TLS 1.2，但Azure App Service的底层环境偶尔会有默认行为波动。建议在应用启动时（比如Global.asax的Application_Start方法里）全局设置一次：

// 强制使用TLS 1.2
ServicePointManager.SecurityProtocol = SecurityProtocolType.Tls12;
// 调整连接池上限，避免高并发下连接耗尽
ServicePointManager.DefaultConnectionLimit = 100;
// 确保100-continue握手正常
ServicePointManager.Expect100Continue = true;

注意不要在每个请求里重复设置，全局初始化一次即可，避免不必要的冲突。

二、核对Azure App Service的TLS/SSL配置细节 #

即使SSL Labs评级是A，也建议去Azure Portal检查你的App Service的「TLS/SSL设置」：

• 确认最低TLS版本设置为1.2，禁用TLS 1.0和1.1
• 开启「HTTPS Only」选项，确保所有请求都走HTTPS
• 如果用到客户端证书，检查「客户端证书」设置是否为所需模式（比如「需要」或「可选」），避免证书验证冲突

三、排查连接池耗尽或连接泄漏问题 #

QA环境频繁使用没问题但生产偶发，大概率和生产环境的请求量更大有关，可能是ServicePoint连接池被耗尽。可以做这几件事：

• 在日志里添加监控，记录出错时ServicePointManager.FindServicePoint(new Uri("你的API地址")).ConnectionCount的值，看是否达到上限
• 确保你的HTTP请求客户端正确释放：如果用HttpClient，要么用using语句包裹（单次请求场景），要么用单例模式复用（高频请求场景），避免每次请求新建实例导致连接泄漏：

// 单次请求场景
using (var client = new HttpClient())
{
    var response = await client.GetAsync("你的API地址");
    // 处理响应
}

四、对比QA与生产环境的应用设置差异 #

生产环境的应用设置可能和QA有细微差别，导致偶发问题：

• 检查是否设置了WEBSITE_LOAD_CERTIFICATES（如果OAuth用到客户端证书的话），确保证书能正确加载
• 核对所有和SSL、网络相关的环境变量，确保和QA环境一致

五、启用Azure更详细的诊断日志 #

Elmah日志只记录了上层错误，开启Azure的底层日志能帮你定位具体原因：

• 在Azure Portal开启「应用服务日志」「详细错误日志」「失败请求跟踪」
• 查看Kudu控制台的LogFiles目录，获取SSL/TLS握手过程中的底层错误信息，比如是证书链验证失败、Cipher Suite不匹配还是TCP连接超时

六、手动测试目标API的SSL连接（出错时） #

当问题出现时，通过Kudu控制台直接测试目标API的SSL连接：

• 用curl -v https://你的API地址查看详细的请求过程
• 用openssl s_client -connect 你的API域名:443测试SSL握手，看是否返回证书验证错误、握手失败等具体信息

七、开启App Service的「始终开启」功能 #

如果你的应用长时间没有请求，Azure会自动休眠应用，唤醒时可能出现SSL/TLS初始化异常。开启「始终开启」功能，避免应用休眠，能减少这类偶发的初始化问题。

八、核对.NET Framework补丁和运行时版本 #

确认生产环境App Service使用的.NET Framework 4.6是最新补丁版本，旧补丁可能存在TLS相关的已知bug。可以在Kudu的「Environment」页面查看当前.NET版本，和QA环境对比确保一致。

内容的提问来源于stack exchange，提问作者SamJolly