web-dev-qa-db-ja.com

ERR_HTTP2_INADEQUATE_TRANSPORT_SECURITYが原因で、ASP.NET Core 3.0アプリがWindows Server 2012 R2で機能しない

動作しているASP.NET Core 2.2アプリを使用して3.0にアップグレードしたところ、突然Windows Server 2012でアプリが機能しなくなりました。次のようになります。

ERR_HTTP2_INADEQUATE_TRANSPORT_SECURITY

Chrome： enter image description here

Firefox： enter image description here

以前はHTTP/2を選択しなければならなかったようですが、現在はHTTP1.1とともにデフォルトになっています。ここに投稿がありますhttps://github.com/aspnet/AspNetCore/issues/14350ですが、実際の解決策はなく、完全に混乱しています。

安全でないプロトコルを有効/無効にするあらゆる種類のことを試しましたが、役に立ちませんでした。など https://www.admin-enclave.com/de/articles-by-year/11-data-articles/website_articles/articles/exchange_articles/405-resolved-error-err_spdy_inadequate_transport_security-when-using- google-chome-and-owa.html

より良いプロトコルスイートを想定しているため、Windows 10では問題なく動作します。しかし、フィドラーで確認したところ、ケストレルと交渉する際の唯一の違いは次のとおりです。

Windows Server 2012 R2：

[0A0A]  Unrecognized cipher - See http://www.iana.org/assignments/tls-parameters/
[1301]  Unrecognized cipher - See http://www.iana.org/assignments/tls-parameters/
[1302]  Unrecognized cipher - See http://www.iana.org/assignments/tls-parameters/
[1303]  Unrecognized cipher - See http://www.iana.org/assignments/tls-parameters/
[C02B]  TLS_ECDHE_ECDSA_WITH_AES_128_GCM_SHA256
[C02F]  Unrecognized cipher - See http://www.iana.org/assignments/tls-parameters/
[C02C]  TLS_ECDHE_ECDSA_WITH_AES_256_GCM_SHA384
[C030]  Unrecognized cipher - See http://www.iana.org/assignments/tls-parameters/
[CCA9]  Unrecognized cipher - See http://www.iana.org/assignments/tls-parameters/
[CCA8]  Unrecognized cipher - See http://www.iana.org/assignments/tls-parameters/
[C013]  TLS1_CK_ECDHE_RSA_WITH_AES_128_CBC_SHA
[C014]  TLS1_CK_ECDHE_RSA_WITH_AES_256_CBC_SHA
[009C]  Unrecognized cipher - See http://www.iana.org/assignments/tls-parameters/
[009D]  Unrecognized cipher - See http://www.iana.org/assignments/tls-parameters/
[002F]  TLS_RSA_AES_128_SHA
[0035]  TLS_RSA_AES_256_SHA
[000A]  SSL_RSA_WITH_3DES_EDE_SHA

ウインドウズ10：

[3A3A]  Unrecognized cipher - See http://www.iana.org/assignments/tls-parameters/
[1301]  Unrecognized cipher - See http://www.iana.org/assignments/tls-parameters/
[1302]  Unrecognized cipher - See http://www.iana.org/assignments/tls-parameters/
[1303]  Unrecognized cipher - See http://www.iana.org/assignments/tls-parameters/
[C02B]  TLS_ECDHE_ECDSA_WITH_AES_128_GCM_SHA256
[C02F]  Unrecognized cipher - See http://www.iana.org/assignments/tls-parameters/
[C02C]  TLS_ECDHE_ECDSA_WITH_AES_256_GCM_SHA384
[C030]  Unrecognized cipher - See http://www.iana.org/assignments/tls-parameters/
[CCA9]  Unrecognized cipher - See http://www.iana.org/assignments/tls-parameters/
[CCA8]  Unrecognized cipher - See http://www.iana.org/assignments/tls-parameters/
[C013]  TLS1_CK_ECDHE_RSA_WITH_AES_128_CBC_SHA
[C014]  TLS1_CK_ECDHE_RSA_WITH_AES_256_CBC_SHA
[009C]  Unrecognized cipher - See http://www.iana.org/assignments/tls-parameters/
[009D]  Unrecognized cipher - See http://www.iana.org/assignments/tls-parameters/
[002F]  TLS_RSA_AES_128_SHA
[0035]  TLS_RSA_AES_256_SHA
[000A]  SSL_RSA_WITH_3DES_EDE_SHA

一番上の行は異なりますが、それだけです。それが何かわからない、それはいくつかのGREASE値です。

Program.cs：

    public static IWebHostBuilder CreateWebHostBuilder(string[] args) =>
      WebHost.CreateDefaultBuilder(args)
      .UseKestrel(opts => {
        opts.ListenAnyIP(5000);
        opts.ListenAnyIP(5001, listenOpts => {
          listenOpts.UseHttps(new HttpsConnectionAdapterOptions {
            ServerCertificate = new X509Certificate2("certificate-server.pfx", "...")
          });
        });
        opts.Limits.MaxRequestBodySize = null;
      })
      .UseContentRoot(Directory.GetCurrentDirectory())
      .UseStartup<Startup>();
  }

更新

@ chris-prattのおかげで私は正しい方向に進んでいるようです。証明書の暗号をECDSA_nistP256に変更すると、Webアプリケーションが機能します。しかし、残念ながら私はJWTトークンにも署名するために証明書を使用していますが、これは次のように壊れています：

System.NotSupportedException：証明書のキーアルゴリズムはサポートされていません。 System.Security.Cryptography.X509Certificates.PublicKey.get_Key（）で

署名コードは次のとおりです。

  var privateKey = new X509SecurityKey(new X509Certificate2("certificate-server.pfx", "..."));
  var token = new JwtSecurityToken(
    issuer: "Sentry",
    claims: claims,
    notBefore: DateTime.Now,
    expires: DateTime.Now.AddDays(1),
    signingCredentials: new SigningCredentials(privateKey, SecurityAlgorithms.RsaSha256Signature));

  return new JwtSecurityTokenHandler().WriteToken(token);

SecurityAlgorithms列挙型を変更しようとしましたが、成功しませんでした。

c#asp.net-corehttpswindows-server-2012-r2network-protocols
6
Colton Scottie

Windows 2012 R2は、HTTP/2で許可されている暗号スイートをサポートしていません。 Core 3.0以降、HTTP/2プロトコルはデフォルトで有効になっていると思います。次のようにkestrelでHTTP/2を無効にすることで問題を解決しました：

public static IHostBuilder CreateHostBuilder(string[] args) =>

  Host.CreateDefaultBuilder(args).ConfigureWebHostDefaults(webBuilder =>
  {
      webBuilder.UseKestrel(options =>
      {
        options.Listen(System.Net.IPAddress.Parse(DomainIp), 80);
        options.Listen(System.Net.IPAddress.Parse(DomainIp), 443, l =>
        {
          l.UseHttps(
            DomainCertificateFile,
            DomainCertificatePassword);
          l.Protocols = Microsoft.AspNetCore.Server.Kestrel.Core.HttpProtocols.Http1;
        });
      });
      webBuilder.UseStaticWebAssets();
      webBuilder.UseStartup<Startup>();
   });
1
Frankenstein