Kestrel：.NET 跨平台高性能 Web 服务器详解

或者在 Program.cs 中直接指定：

var builder = WebApplication.CreateBuilder(args);
builder.WebHost.ConfigureKestrel(options => {
    // 监听特定端口
    options.ListenLocalhost(5000); // 监听 localhost:5000
    options.ListenLocalhost(5001, listenOptions => {
        // 配置 HTTPS (需要证书)
        listenOptions.UseHttps("path/to/cert.pfx", "password");
    });
});
var app = builder.Build();
// ...
app.Run();

4.2 高级配置：限制与安全

builder.WebHost.ConfigureKestrel(options => {
    // 限制最大请求体大小 (默认 30MB)
    options.Limits.MaxRequestBodySize = 10 * 1024 * 1024; // 10MB
    
    // 限制最大并发连接数 (默认无限制)
    options.Limits.MaxConcurrentConnections = 100;
    
    // 限制单个连接的最大并发请求 (默认 1)
    options.Limits.MaxConcurrentUpgradedConnections = 10;
    
    // 设置请求头和响应头的最大长度
    options.Limits.MaxRequestHeaderCount = 32;
    options.Limits.MaxResponseBufferSize = 1024 * 1024; // 1MB
    
    // 设置各种超时时间
    options.Limits.KeepAliveTimeout = TimeSpan.FromMinutes(2);
    options.Limits.RequestHeadersTimeout = TimeSpan.FromSeconds(30);
    
    // 监听配置
    options.ListenAnyIP(8080); // 监听所有 IP 地址的 8080 端口
    options.ListenAnyIP(8443, listenOpts => {
        listenOpts.UseHttps(httpsOptions => {
            httpsOptions.ServerCertificate = LoadYourCert(); // 加载证书的逻辑
            // 配置 HTTPS 协商、SNI 等
        });
    });
});

4.3 配置 HTTPS

HTTPS 是现代 Web 应用的标准。Kestrel 可以配置为使用 X.509 证书来提供 HTTPS 服务。

• 开发环境: 使用 dotnet dev-certs https 命令生成开发证书，然后在 Program.cs 中加载。
• 生产环境: 提供有效的 SSL 证书文件 (.pfx 或 .pem/.key)。

// 示例：加载 PFX 证书
options.ListenAnyIP(5001, listenOptions => {
    listenOptions.UseHttps("path/to/production-cert.pfx", "certificate-password");
    // 或者加载 PEM 和 Key
    // listenOptions.UseHttps(new X509Certificate2("path/to/cert.pem", "path/to/key.pem"));
});

5. Kestrel 在反向代理环境下的部署

虽然 Kestrel 性能强大，但在生产环境中，通常不建议直接暴露 Kestrel 服务器给公网。更常见的做法是将其部署在反向代理服务器（如 Nginx、Apache、IIS 或 Azure Application Gateway）后面。

为什么要使用反向代理？

• 安全性: 反向代理可以提供防火墙、DDoS 缓解、SSL 终止等安全功能。
• 负载均衡: 可以将请求分发到多个 Kestrel 实例。
• 静态文件服务: 通常由反向代理服务器（如 Nginx）更高效地处理静态文件（CSS, JS, 图片）。
• 缓存: 反向代理可以缓存响应，减轻后端 Kestrel 服务器的压力。

配置要点：

• Kestrel 监听地址: 在反向代理场景下，Kestrel 通常只监听本地地址（如 127.0.0.1 或 localhost）或 Docker 内部地址，不直接监听 0.0.0.0。

Forwarded Headers: 反向代理会修改原始请求的 Host、Scheme、Remote IP 等信息。Kestrel 需要知道原始信息。需要配置 ASP.NET Core 的 ForwardedHeaders 中间件。

// Program.cs
builder.Services.Configure<ForwardedHeadersOptions>(options => {
    options.ForwardedHeaders = ForwardedHeaders.XForwardedFor | ForwardedHeaders.XForwardedProto | ForwardedHeaders.XForwardedHost;
    // 设置要信任的代理服务器 IP (重要！防止 IP 欺骗)
    options.KnownNetworks.Clear();
    options.KnownProxies.Clear();
    options.KnownProxies.Add(IPAddress.Parse("127.0.0.1")); // 假设代理在本地
    // 如果代理在 Docker 容器内，可能是 Docker 网关 IP
});

// 在中间件管道中，通常在 UseRouting 之前添加
app.UseForwardedHeaders();

6. 性能考量与调优建议

• 合理设置 Limits: 根据应用预期负载调整 MaxConcurrentConnections、MaxRequestBodySize 等限制，防止资源耗尽。
• 启用 HTTPS (谨慎): HTTPS 会增加 CPU 开销。在反向代理层终止 HTTPS（SSL Offloading）通常是更好的选择，除非 Kestrel 直接面向最终用户且硬件支持 TLS 硬件加速。
• 监控与日志: 利用 .NET 的诊断工具和日志框架监控 Kestrel 的性能指标（如连接数、请求率、错误率）。
• 使用 HTTP/2: 如果客户端支持，HTTP/2 可以显著提升性能，尤其是在多路复用方面。

7. 常见问题与最佳实践

• Q: Kestrel 可以直接部署到公网上吗？ A: 不推荐。 虽然 Kestrel 在性能上足以应对公网流量，但缺少反向代理提供的安全层（如 DDoS 防护、IP 白名单、更精细的请求过滤）。生产环境应始终使用反向代理。
• Q: 如何在 Linux 上运行 HTTPS？ A: 确保您的 Linux 系统和 .NET 运行时支持所使用的证书格式（通常是 PFX 或 PEM）。可能需要安装 libicu 等依赖库。配置与 Windows 类似，关键是提供正确的证书路径和密码。
• Q: Kestrel 与 IIS、Nginx 的关系？ A: Kestrel 是 ASP.NET Core 的内置服务器。IIS 和 Nginx 是成熟的、功能丰富的 Web 服务器/反向代理。在 Windows 上，可以将 ASP.NET Core 应用部署到 IIS，IIS 会通过 ASP.NET Core Module 将请求转发给 Kestrel。在 Linux/macOS 上，通常使用 Nginx/Apache 作为反向代理。
• 最佳实践:
  • 总是在生产环境使用 HTTPS。
  • 在反向代理后部署 Kestrel。
  • 配置 ForwardedHeaders 中间件。
  • 根据应用特性调整 Kestrel 限制。
  • 定期更新 .NET 运行时和 Kestrel 以获取安全补丁和性能改进。

8. 总结

Kestrel 是 ASP.NET Core 生态系统中不可或缺的一环，它以其高性能、跨平台和易于配置的特点，成为了现代 .NET Web 应用开发的基石。理解其工作原理和配置方法，对于构建高效、可靠的 Web 服务至关重要。记住，在生产环境中，搭配反向代理使用是保障应用安全和性能的最佳实践。