如何在不破坏服务器 2012 R2 上的 RemoteApps 的情况下禁用 TLS 1.0

Question

请注意，这种情况与类似情况不同： 如何在不破坏 RDP 的情况下禁用 TLS 1.0？

链接的问题是关于 RDP 和禁用 TLS 1.0。

这个问题是关于 RemoteApp 和禁用 TLS 1.0

我已经在端口 3389 上直接使用 RDP 和 TLS 1.2 一起工作。

我们有一个托管 RemoteApp 的 2012R2 服务器。

我们在此服务器上安装了 RD 网关、RD Web 访问、RD 连接代理、RD 会话主机角色。

RemoteApp 通过 RD 网关通过 https 提供服务。我们唯一开放的公共端口是 443。

我们在所有 RD 角色和 IIS 中安装了公共 CA 提供的通配符 SSL 证书，因此一切都可以追溯到受信任的根证书。

该证书支持 TLS 1.2，当我查看 RDWeb 网站时，我在网络浏览器中看到了这一点。

我们计划在此服务器上禁用 TLS 1.0 以加强安全性。我们正在使用 IISCrypto 2.0 来禁用 TLS 1.0

当我们禁用 TLS 1.0 时，会观察到两件事：

1.RemoteApp 停止工作。它们不能从最终用户机器启动。

2.Straight RDP 连接工作得很好。

当我们重新启用 TLS 1.0 时，RemoteApp 再次工作。

SChannel 日志确认 RemoteApps 正在使用 TLS 1.2，因此我希望 RemoteApps 在 TLS 1.0 被禁用时继续工作。然而，这不是我观察到的。

所有客户端都使用 Windows 8.1 和 10 的完全更新/修补版本。

Answer 1

将近一年后，我终于找到了一个可行的解决方案，可以在不破坏 RDP 和远程桌面服务连接的情况下禁用 TLS 1.0/1.1。

运行 IISCrypto 并禁用 TLS 1.0、TLS 1.1 和所有错误的密码。

在运行网关角色的远程桌面服务服务器上，打开本地安全策略并导航到安全选项 - 系统加密：使用符合 FIPS 的算法进行加密、散列和签名。将安全设置更改为已启用。重新启动以使更改生效。

请注意，在某些情况下（尤其是在 Server 2012 R2 上使用自签名证书时），可能需要将安全策略选项网络安全：LAN Manager 身份验证级别设置为仅发送 NTLMv2 响应。

让我知道这是否也适用于您。