是否可以在 IIS 站点上强制使用 TLS 1.2

Question

我有一个 IIS 站点，我想在其中强制使用 TLS 1.2。我不希望使用 TLS 1 的客户端能够连接到该站点。

我想在站点级别执行此操作，因为还有其他站点应该使用旧版本。

谢谢

Answer 1

选项 1： 对于 Windows Server 2019 上的 IIS（具有最新更新），Microsoft 添加了在每个站点证书绑定基础上禁用此功能的功能：https : //docs.microsoft.com/en-us/security/disable-legacy -tls。在 IIS 中站点的“站点绑定”中，选择“禁用旧版 TLS”选项。

选项 2： 您还可以使用IIS Crypto（免费），这是一个使用最佳实践设置系统范围 SCHANNEL 设置的便捷工具。它适用于大多数版本的 Windows Server。这将影响 IIS 和机器上运行的所有其他客户端/服务器服务，但您可以为客户端与服务器设置单独的 TLS 版本支持设置。

Answer 2

没有办法只更改服务器上的单个站点以仅支持 TLS 1.2。IIS 使用 SCHANNEL 进行管理，如此处所述。2012r2 及以下版本不支持按站点配置。

如果您绝对必须做这样的事情，最简单的方法是使用 SSL 代理，它允许较低级别的入站，并可以创建出站的 TLS 1.2 连接。此中继可用于您的较低级别的站点，并且可以直接访问您的安全站点。