Windows服务器上如何启用TLS1.2

这篇“Windows服务器上如何启用TLS1.2”文章的知识点大部分人都不太理解，所以小编给大家总结了以下内容，内容详细，步骤清晰，具有一定的借鉴价值，希望大家阅读完这篇文章能有所收获，下面我们一起来看看这篇“Windows服务器上如何启用TLS1.2”文章吧。

创新互联公司客户idc服务中心，提供遂宁托管服务器、成都服务器、成都主机托管、成都双线服务器等业务的一站式服务。通过各地的服务中心，我们向成都用户提供优质廉价的产品以及开放、透明、稳定、高性价比的服务，资深网络工程师在机房提供7*24小时标准级技术保障。

首先测试一下自己的服务器究竟处于什么水平。

测试结果显示是支持ssl3.0的并且不支持tls 1.2。证书使用sha1签名算法不够强。这点比较容易接受，因为windows服务器默认并没有开启tls1.2。

要提高服务器的评级，有3点需要做。

使用sha256签名算法的证书。

禁用ssl3.0，启用tls1.2

禁用一些弱加密算法。

由于目前服务器使用的证书是近3年前购买的，正好需要重新购买，顺便就可以使用sha256签名算法来买新的证书就可以了。在生产环境部署之前，先用测试机测试一下。

根据这3条命令把证书颁发机构的签名算法升级上去。测试环境是windows2012 r2,默认的签名算法是sha1

upgradecertification authority to sha256
http://blogs.technet.com/b/pki/archive/2013/09/19/upgrade-certification-authority-to-sha256.aspx
certutil -setreg ca\csp\cnghashalgorithm sha256net stop certsvcnet start certsvc

然后，在服务器中添加注册表键值并重启已启用tls1.2和禁用ssl3.0

hkey_local_machine\system\currentcontrolset\control\securityproviders\schannel\protocols\tls1.2\server\enabled reg_dword类型设置为1.
hkey_local_machine\system\currentcontrolset\control\securityproviders\schannel\protocols\ssl3.0\server enabled reg_dword类型设置为0.

重新启动服务器，是设置生效。

由于测试机没有公网地址，所以去下载个测试工具，方便测试。

可以下载到exe或者java版本的测试工具，方便的在内网测试服务器支持的加密方式。

测试了一下，发现tls1.2没有启用。

难道是启用方法不对?于是开始检查各种服务器的日志，也的确发现了tls1.2不能建立的报错了。

网上查了很多文章，也没有说什么解决办法。后来换了下证书，用回sha1的证书，tls1.2就能显示成功启用了。

难道是证书有问题，于是就各种搜索sha1证书和sha256证书的区别，同时也测试了一些别人的网站，结果发现别人用sha256证书也能支持tls1.2. 难道是我的ca有问题？

又研究了几天，也测试了2008 r2的机器还是同样的问题。正好新买的公网证书也下来了。就拿这张证书先放到测试服务器上测试，结果还是不行。但是别人的服务器的确可以啊。

用powershell来帮助我们启用tls1.2以及如何设定服务器的加密算法顺序。

setupyour iis for ssl perfect forward secrecy and tls 1.2
https://www.hass.de/content/setup-your-iis-ssl-perfect-forward-secrecy-and-tls-12
enablingtls 1.2 on iis 7.5 for 256-bit cipher strength
http://jackstromberg.com/2013/09/enabling-tls-1-2-on-iis-7-5-for-256-bit-cipher-strength/

那么问题究竟出在哪呢？可能的问题，sha256证书有问题？服务器不支持tls1.2？然后根据windows日志中的错误继续查找，都没能找到什么有用的信息。

用ie试了下访问网站，发现是可以的，于是抓包看一下，用的协议是tls1.2。证明tls1.2在服务器上是已经启用的了。有client hello并且服务器也回应了serverhello。

再仔细看客户端的client hello包，里面确实包含了extension信息。

看之前testtlsserver.exe测试失败并抓下来的包。并没有server hello的包回来。clienthello里的确没有扩展信息。

于是，让同事帮忙把测试服务器发布到公网上，用

测试一下，果然没有问题。这个困扰我好久的问题终于有了解释。

最后,附上不再支持ssl 3.0 chrome厂商自家网站的测试结果供大家参考。

以上就是关于“Windows服务器上如何启用TLS1.2”这篇文章的内容，相信大家都有了一定的了解，希望小编分享的内容对大家有帮助，若想了解更多相关的知识内容，请关注创新互联行业资讯频道。