如何在 IIS 7.5 中启用 TLS 1.1、1.2

Question

我们希望支持使用 TLS 1.1 和 1.2 的 Web 浏览器，这显然是由 Microsoft 实现的，但默认情况下是关闭的。

所以我在谷歌上搜索并发现了一些似乎每个人都在关注的页面：

http://support.microsoft.com/kb/245030

https://www.derekseaman.com/2010/06/enable-tls-12-aes-256-and-sha-256-in.html

然而！它似乎对我不起作用。我已经为 DisabledByDefault 设置了 DWORD 值，为 TLS 1.1 和 1.2 设置了启用。我可以确认我的客户端正在尝试与 TLS 1.2 通信，但服务器只响应 1.0。我已经重新启动了 IIS，但它并没有改变这种情况。

Microsoft 指出：“警告：Protocols 项下注册表项中的 DisabledByDefault 值不优先于包含 Schannel 凭据数据的 SCHANNEL_CRED 结构中定义的 grbitEnabledProtocols 值。”

嗯，这对我来说很模糊。我找不到定义或设置 SCHANNEL_CRED 的任何地方，我只能确定它是 Microsoft 库中定义的结构。这是我对为什么这不起作用的唯一猜测，但我找不到足够的信息来确定它是否是真正的问题。

Answer 1

重启。在重新启动系统之前，对 Schannel 设置的更改不会生效。

Answer 2

更改 Microsoft SChannel 协议和密码（包括密码排序）的最简单方法是使用IIS Crypto，这是一个完全免费的工具，无需任何烦人的注册要求即可下载。

该工具会在幕后操纵注册表项，但它以一种受控、经过验证且安全的方式进行操作。我们经常使用它。

还值得注意的是，它可以帮助自动化场景，因为它除了 GUI 版本之外还有命令行版本。

还有一个博客讨论了一些更改及其原因。当出现 SSL 问题时，该工具往往会保持最新状态。