FTP下载文件生成错误：呼叫SSPI失败

Question

我正在尝试从FTP服务器下载文件，但是从我的生产服务器（从笔记本电脑我可以下载文件）中，我会收到错误“呼叫SSPI失败”，并且内部异常是意外的或格式不佳”。这是我的代码：

var ftpServer = "ftp://xxx.yyy.zz/";
var ftpUsername = "aaaaa";
var ftpPassword = "bbbbb";
var downloadedFilePath = "c:\\temp\\";
var downloadedFileName = "file.xls";                      
FtpWebRequest request = null;

ServicePointManager.SecurityProtocol = ServicePointManager.SecurityProtocol | SecurityProtocolType.Tls12;

ServicePointManager.ServerCertificateValidationCallback = delegate (object s, X509Certificate certificate, X509Chain chain, SslPolicyErrors sslPolicyErrors) {
                    return true;
                };

// Get the object used to communicate with the server.
request = (FtpWebRequest)WebRequest.Create(ftpServer + "file_on_ftp_server.xls");

// download the file
request.Method = WebRequestMethods.Ftp.DownloadFile;

request.Credentials = new NetworkCredential(ftpUsername, ftpPassword);

request.EnableSsl = true;
request.KeepAlive = false;

FtpWebResponse response = (FtpWebResponse)request.GetResponse();    // <--- ERROR

Stream responseStream = response.GetResponseStream();
FileStream writer = new FileStream(downloadedFilePath + downloadedFileName, FileMode.Create);

Answer 1

sspi 是Windows组件。
如果您在Windows 2008上，则意味着它很旧。

错误“收到的消息是出乎意料或格式不佳”似乎表明服务器证书
使用不支持的格式（例如，使用未知密码），因此无法通过SSPI层处理。

您有几个解决方案：

• 升级Windows
• 降级服务器证书
• 不使用SSL
• 使用不依赖SSPI的替代FTP库

Answer 2

要在.NET框架内使用SSL证书，我们需要一起提供证书及其相应的私钥。为了实现这一目标，我们需要使用将这两个组合在一起的p12（.pfx）文件。在我的项目中，我使用openssl使用了自签名证书，因此我使用以下命令将证书和私钥组合起来，

pkcs12 -export -out ca.pfx -inkey ca.key -in ca.crt

pkcs12 -export -out client.pfx -inkey client.key -in client.crt

该键将为每个证书创建P12（.PFX）文件。然后将它们像下面一样使用到您的代码中。

有关更多信息，请参见下面的lonk

参考

也许此链接也为您提供帮助。

祝你好运

Answer 3

根据先前的建议，您的代码应该看起来像这样：

var ftpServer = "ftp://xxx.yyy.zz/";
var ftpUsername = "aaaaa";
var ftpPassword = "bbbbb";
var downloadedFilePath = "c:\\temp\\";
var downloadedFileName = "file.xls";                      
var certName = "MyCertName"   //Use yours
var password = "MyCertPassword";   //Use yours
FtpWebRequest request = null;

ServicePointManager.SecurityProtocol = ServicePointManager.SecurityProtocol | SecurityProtocolType.Tls12;

ServicePointManager.ServerCertificateValidationCallback = delegate (object s, X509Certificate certificate, X509Chain chain, SslPolicyErrors sslPolicyErrors) {
   return true;
};

//Load certificates (one or more)
X509Certificate2Collection certificates = new X509Certificate2Collection();
    certificates.Import(certName, password, X509KeyStorageFlags.MachineKeySet | X509KeyStorageFlags.PersistKeySet);

// Get the object used to communicate with the server.
request = (FtpWebRequest)WebRequest.Create(ftpServer + "file_on_ftp_server.xls");

// download the file
request.Method = WebRequestMethods.Ftp.DownloadFile;

request.Credentials = new NetworkCredential(ftpUsername, ftpPassword);

request.ClientCertificates = certificates;   //Use certificates

request.EnableSsl = true;
request.KeepAlive = false;

FtpWebResponse response = (FtpWebResponse)request.GetResponse();    // <--- ERROR

Stream responseStream = response.GetResponseStream();
FileStream writer = new FileStream(downloadedFilePath + downloadedFileName, FileMode.Create);

注意：我没有测试解决方案，因为我没有环境对其进行测试

Answer 4

TLS握手失败了，因为两个服务器无法就通用密码套件达成共识。

iis crypto 以启用Web App Server上的其他密码套件。下载并运行了IIS加密，在重新启动机器之后，在其密码套件选项卡上在其Cipher Suites选项卡上进行了检查。

如果诊断失败，我建议您安装 wireshark> wireshark 带有.NET核心应用程序的机器上。
如果再次进行TLS握手故障，则一条邮件类似：ALERT（级别：致命，描述：握手失败）
某些密码套件比其他套件更安全，因此Check Ref Link可能有助于解决您的问题。

临时解决方案：
使用Windows注册表设置Schannel的最小密钥长度：

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\KeyExchangeAlgorithms\Diffie-Hellman]
"ClientMinKeyBitLength"=dword:00000200

ref：， link2 ， link3 ， link4