为什么启用 TLS 1.2 后 Internet Explorer 11 无法连接到 HTTPS 站点？

Question

通常我根本不使用 Internet Explorer。我只在设计时将它用于接口测试（开发机器和未加密的 http）。每周我都会运行 SSL Labs 服务器测试，它说 IE11 能够访问我的网站。

今天，我发现我的第 3 方服务之一存在问题。某些特殊功能不适用于 Chrome 或 Firefox，因此我在 Windows 7 机器上启动了 IE11。IE11 向我展示了一个内置的错误页面，基本上只说“页面无法显示”。典型的虚拟 bla bla 喜欢检查 DNS 等等。整个错误页面上绝对没有加密相关问题的迹象（就像普通浏览器一样）。

几个月前，这个schannel问题阻止了启用 TLS1.2 的 IE 访问 HTTPS 站点。从那时起，我的“IE 的 WTF 检查表”包含“禁用 TLS1.2”作为检查点。我应该说些什么...在 IE 中禁用 TLS1.2 有效并且我的站点再次可用。但是我不能在我的访问者浏览器上这样做。

现在回到真正的问题：为什么在 IE 中启用了 TLS 1.2 时，为什么 Internet Explorer 11 无法连接到我的 HTTPS 站点？以及如何在服务器端修复它？SSL Labs 告诉我，我的网站上一切正常。

重要编辑：当启用 TLS1.2 时，IE11 似乎只能处理非前缀域，而不能处理带前缀的域。没有前缀 (www) 的域有效，而包含前缀 (www) 的域不起作用。

在服务器端我使用 debian/7 nginx/1.7.8 openssl/1.0.1e

可用的密码是： ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES256-GCM-SHA384:ECDHE-ECDSA-AES256-GCM-SHA384:DHE-RSA-AES128-GCM-SHA256:DHE-DSS-AES128-GCM-SHA256:kEDH+AESGCM:ECDHE-RSA-AES128-SHA256:ECDHE-ECDSA-AES128-SHA256:ECDHE-RSA-AES128-SHA:ECDHE-ECDSA-AES128-SHA:ECDHE-RSA-AES256-SHA384:ECDHE-ECDSA-AES256-SHA384:ECDHE-RSA-AES256-SHA:ECDHE-ECDSA-AES256-SHA:DHE-RSA-AES128-SHA256:DHE-RSA-AES128-SHA:DHE-DSS-AES128-SHA256:DHE-RSA-AES256-SHA256:DHE-DSS-AES256-SHA:DHE-RSA-AES256-SHA:AES128-GCM-SHA256:AES256-GCM-SHA384:AES128-SHA256:AES256-SHA256:AES128-SHA:AES256-SHA:AES:CAMELLIA:DES-CBC3-SHA:!aNULL:!eNULL:!EXPORT:-DES:!RC4:!MD5:!PSK:!aECDH:EDH-DSS-DES-CBC3-SHA:!EDH-RSA-DES-CBC3-SHA:!KRB5-DES-CBC3-SHA

Answer 1

您是否还启用了 SSL 2.0？

根据http://support.microsoft.com/en-us/kb/2851628 “SSL 2.0 和 TLS 1.2 在 Windows 7 及更高版本的操作系统中彼此不兼容。使用客户端证书建立 HTTPS 连接通过 TLS 1.2，您必须禁用 SSL 2.0”。