如何在.NET 4.6.1/Windows Server 2012 R2上用RestSharp强制TLS 1.2

问题现象 #

调用要求TLS 1.2的JobTeaser远程API时，生产环境报错：

请求已中止: 无法创建SSL/TLS安全通道。

背景信息 #

• 本地Windows 10环境中，通过ServicePointManager.SecurityProtocol = SecurityProtocolType.Tls12;强制TLS 1.2后可正常请求。
• 生产环境Windows Server 2012 R2上，已指定项目目标.NET Framework 4.6.1并设置SecurityProtocolType，但TLS握手仍失败。
• OpenSSL验证确认服务器支持TLS 1.2。
• 已安装受信任根证书ISRG Root X1。

已尝试的操作 #

• 用数值强制设置TLS 1.2：

  ServicePointManager.SecurityProtocol = (SecurityProtocolType)3072;
  

• 通过ServicePointManager.ServerCertificateValidationCallback记录TLS相关信息
• 在Visual Studio中明确指定项目目标框架为.NET 4.6.1
• 检查并确认Windows Server 2012 R2已安装支持TLS 1.2的KB更新

示例RestSharp代码 #

System.Net.ServicePointManager.SecurityProtocol = (SecurityProtocolType)3072;
System.Net.ServicePointManager.ServerCertificateValidationCallback = (sender, cert, chain, sslPolicyErrors) => true;

var client = new RestClient(baseUrl);
client.AddDefaultHeader("Authorization", $"Bearer {token}");

核心问题 #

• 生产环境连接失败但本地正常
• .NET 4.6.1不支持HttpClientHandler搭配ServerCertificateCustomValidationCallback
• 尝试结合RestClient与HttpClient时出现引用缺失、类型不兼容问题

解决方案 #

1. 系统层面启用TLS 1.2配置 #

Windows Server 2012 R2默认可能未完全启用TLS 1.2，需通过注册表配置：

• 打开注册表编辑器（运行regedit）
• 定位到HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\.NETFramework\v4.0.30319，添加DWORD值SchUseStrongCrypto，设置为1
• 64位系统需额外操作路径HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\Microsoft\.NETFramework\v4.0.30319，添加同样的SchUseStrongCrypto值为1
• 定位到HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.2\Client，若路径不存在则手动创建：
  • 添加DWORD值Enabled，设置为1
  • 添加DWORD值DisabledByDefault，设置为0
• 重启服务器使配置生效

2. 代码层面优化TLS设置 #

不要仅指定单一TLS版本，保留兼容选项同时强制优先TLS 1.2，同时避免跳过证书验证（排查阶段可临时使用）：

// 同时启用TLS 1.2和TLS 1.1，提升协商兼容性
ServicePointManager.SecurityProtocol = SecurityProtocolType.Tls12 | SecurityProtocolType.Tls11;
// 自定义证书验证回调，用于排查错误（生产环境需严格验证）
ServicePointManager.ServerCertificateValidationCallback = (sender, cert, chain, sslPolicyErrors) => {
    if (sslPolicyErrors != SslPolicyErrors.None) {
        // 写入日志记录错误详情，比如sslPolicyErrors、证书链信息等
    }
    // 生产环境建议仅在无错误时返回true
    return sslPolicyErrors == SslPolicyErrors.None;
};

3. 确保RestSharp版本兼容 #

使用与.NET 4.6.1兼容的RestSharp版本，推荐v106.x系列（稳定且适配.NET 4.6）。若需结合HttpClient，通过NuGet安装时选择对应.NET 4.6.1的包，避免版本不兼容导致的引用问题。

4. 验证证书链完整性 #

即使已安装根证书，可能存在中间证书缺失：

• 用IE浏览器访问API的baseUrl，查看证书详情确认完整证书链是否正常
• 若中间证书缺失，手动下载并安装到服务器的「受信任的中间证书颁发机构」存储中

内容的提问来源于stack exchange，提问作者Mathlan89