如何在Windows Server 2008 R2和IIS 7.5上激活TLS 1.2

2020-10-04 乐帮网

iis tls

Windows Server 2008 R2上的IIS是默认安装好的，它仅提供版本1（TLS 1.0）传输层安全性。目前该版本已过时，在2020年初所有主流浏览器将阻止该版本时，用户可能将无法访问您的网站。

您的网站受到影响了吗？反正我的站点在Chorm访问已经出现了不受信标识。下面就得在服务器上升级成TLS1.2。
如果您的服务器具有Microsoft提供的所有安全补丁程序的最新信息，则您可能已经安装了TLS 1.2。在这种情况下，您可以跳至下一部分并激活它。

如果未安装所有修补程序，则可以从Microsoft更新目录中手动下载KB4019276。
安装TLS 1.2补丁
如果您的服务器具有Microsoft提供的所有安全补丁程序的最新信息，则您可能已经安装了TLS 1.2。在这种情况下，您可以跳至下一部分并激活它。

如果未安装所有修补程序，则可以从Microsoft更新目录中手动下载KB4019276。
https://www.catalog.update.microsoft.com/Search.aspx?q=KB4019276

激活TLS 1
您需要修改注册表以激活TLS 1.2。所以，您应该首先进行备份。备份完成时，才应打开regedit并转到注册表路径HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\

在这个目录下需要创建一些条目。您可以手动执行此操作，可以复制到文件中改为后缀reg再以管理员身份运行。只有正确输入所有这些注册表项时才会起作用。

Windows Registry Editor Version 5.00
 
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.2\Client]
"DisabledByDefault"=dword:00000000
"Enabled"=dword:00000001
 
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.2\Server]
"DisabledByDefault"=dword:00000000
"Enabled"=dword:00000001

导入注册表成功后就可以激活TLS 1.2。

最后一步，您需要重新启动服务器。如果您现在访问您的网站，Chrome不应再抱怨TLS 1.0或1.1。 SSL服务器测试中的最终检查应显示TLS 1.2已激活。

清理旧的协议

一旦不再需要TLS 1.0和其他过时的协议，就应该禁用它们。注册表选项如下：

Windows Registry Editor Version 5.00
 
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\SSL 2.0\Client]
"DisabledByDefault"=dword:00000001
"Enabled"=dword:00000000
 
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\SSL 2.0\Server]
"DisabledByDefault"=dword:00000001
"Enabled"=dword:00000000
 
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\SSL 3.0\Client]
"DisabledByDefault"=dword:00000001
"Enabled"=dword:00000000
 
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\SSL 3.0\Server]
"DisabledByDefault"=dword:00000001
"Enabled"=dword:00000000
 
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.0\Client]
"DisabledByDefault"=dword:00000001
"Enabled"=dword:00000000
 
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.0\Server]
"DisabledByDefault"=dword:00000001
"Enabled"=dword:00000000
 
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.1\Client]
"DisabledByDefault"=dword:00000001
"Enabled"=dword:00000000
 
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.1\Server]
"DisabledByDefault"=dword:00000001
"Enabled"=dword:00000000

总结
到2020年1月，主流浏览器会对TLS 1.0和1.1的协议标识出警告提示。如果您仍然运行Windows Server 2008 R2计算机，则应该花几分钟时间并激活TLS 1.2。