Не удалось установить безопасный канал для SSL / TLS: как включить TLS на Windows Server 2008

Question

Этот вопрос относится к ответу на другой вопрос .Человек с правильным ответом пишет: In our case, the problem was resolved when the configuration on the destination server was changed to accept TLS.

В комментарии я спросил, может ли он быть более конкретным, как этого добиться.Джон Сондерс предложил мне задать для этого отдельный вопрос.Итак, вот оно:

Как включить TLS в Windows 2008?Я внес изменения в реестр на основе этого , перезапустил сервер.Ошибка, с которой я борюсь, сохраняется.Есть ли что-то еще, что мне нужно сделать, чтобы включить TLS?

Answer 1

TLS 1.0 должен быть включен по умолчанию в Windows Server (WS) 2008, поэтому я предполагаю, что клиенту требуется более новая версия TLS. Поддержка более новых версий протокола TLS, TLS 1.1 и TLS 1.2, была представлена ​​в WS 2008 R2, но по умолчанию они отключены. В WS 2012 TLS 1.1 и TLS 1.2 включены по умолчанию.

Если клиенту требуется TLS 1.1 или TLS 1.2, вам придется перейти на WS 2008 R2 или более новую версию. Вы можете включить TLS 1.1 и TLS 1.2 в WS 2008 R2 вручную. В этом случае вам нужно добавить некоторые параметры реестра, описанные в Как ограничить использование определенных криптографических алгоритмов и протоколов в Schannel.dll . Соответствующие записи:

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\Schannel\Protocols\TLS 1.1] 
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\Schannel\Protocols\TLS 1.1\Client]
"DisabledByDefault"=dword:00000000
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\Schannel\Protocols\TLS 1.1\Server]
"DisabledByDefault"=dword:00000000
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\Schannel\Protocols\TLS 1.2] 
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\Schannel\Protocols\TLS 1.2\Client]
"DisabledByDefault"=dword:00000000
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\Schannel\Protocols\TLS 1.2\Server]
"DisabledByDefault"=dword:00000000

Вам потребуется перезагрузка, чтобы изменения вступили в силу.

Если вы обновитесь до WS 2012, вы получите TLS 1.1 / 1.2 по умолчанию. Более подробную информацию о конфигурации TLS можно найти в моем блоге на тему Укрепление конфигурации Windows Server 2008/2012 и Azure SSL / TLS .

.