Windows Server 2008 R2 配置HTTPS TLS1.2

確認當前服務器系統環境

windows2008R2在配置SSL做小程序開發時候提示小程序的TLS版本必須大于等于1.2。當前的系統環境支持如下：

檢測你的域名是否安裝SSL/TLS

你的域名是否允許https協議訪問以及TLS1.2是都被開啟，可通過下列網站做驗證：

https://www.ssleye.com/ssltool/cipher_suites.html

檢測結果如下圖所示：

目前提供的 Windows 2008 R2 SP1 系統不支持 TLS1.2 協議，只有 SSL2.0。
 

在配置 SSL 做小程序開發時候，或者 .net 系統無法正常發起 https 請求提示小程序的 TLS 版本必須大于等于 1.2。
 

Windows Server 2008 R2 添加對 TLS1.2 的支持

打開服務器組策略，通過快捷鍵 Win+R 運行中輸入 gpedit.msc，找到 SSL 配置設置，雙擊 SSL 密碼套件順序，選擇已啟用，并點擊 確定。

 

方法一： 使用 ssltools 工具

1. 點擊 此處 下載工具，啟用 TLS1_2 協議。

   

2. 勾選三個 TLS 協議并重啟系統，打開以下目錄：

   HKEY_LOCAL_MACHINESYSTEMCurrentControlSetControlSecurityProvidersSCHANNELProtocols

   。

   
3.  

方法二： 修改注冊表的方式

1. 將下列代碼保存到后綴名為 .reg 的文件中，并雙擊執行，將下列配置添加到注冊表中。

   Windows Registry Editor Version 5.00
   
   [HKEY_LOCAL_MACHINESYSTEMCurrentControlSetControlSecurityProvidersSCHANNELProtocols]
   
   [HKEY_LOCAL_MACHINESYSTEMCurrentControlSetControlSecurityProvidersSCHANNELProtocolsMulti-Protocol Unified Hello]
   
   [HKEY_LOCAL_MACHINESYSTEMCurrentControlSetControlSecurityProvidersSCHANNELProtocolsMulti-Protocol Unified HelloClient]
   "Enabled"=dword:00000000
   "DisabledByDefault"=dword:00000001
   
   [HKEY_LOCAL_MACHINESYSTEMCurrentControlSetControlSecurityProvidersSCHANNELProtocolsMulti-Protocol Unified HelloServer]
   "Enabled"=dword:00000000
   "DisabledByDefault"=dword:00000001
   
   [HKEY_LOCAL_MACHINESYSTEMCurrentControlSetControlSecurityProvidersSCHANNELProtocolsPCT 1.0]
   
   [HKEY_LOCAL_MACHINESYSTEMCurrentControlSetControlSecurityProvidersSCHANNELProtocolsPCT 1.0Client]
   "Enabled"=dword:00000000
   "DisabledByDefault"=dword:00000001
   
   [HKEY_LOCAL_MACHINESYSTEMCurrentControlSetControlSecurityProvidersSCHANNELProtocolsPCT 1.0Server]
   "Enabled"=dword:00000000
   "DisabledByDefault"=dword:00000001
   
   [HKEY_LOCAL_MACHINESYSTEMCurrentControlSetControlSecurityProvidersSCHANNELProtocolsSSL 2.0]
   
   [HKEY_LOCAL_MACHINESYSTEMCurrentControlSetControlSecurityProvidersSCHANNELProtocolsSSL 2.0Client]
   "DisabledByDefault"=dword:00000001
   "Enabled"=dword:00000000
   
   [HKEY_LOCAL_MACHINESYSTEMCurrentControlSetControlSecurityProvidersSCHANNELProtocolsSSL 2.0Server]
   "Enabled"=dword:00000000
   "DisabledByDefault"=dword:00000001
   
   [HKEY_LOCAL_MACHINESYSTEMCurrentControlSetControlSecurityProvidersSCHANNELProtocolsSSL 3.0]
   
   [HKEY_LOCAL_MACHINESYSTEMCurrentControlSetControlSecurityProvidersSCHANNELProtocolsSSL 3.0Client]
   "Enabled"=dword:00000000
   "DisabledByDefault"=dword:00000001
   
   [HKEY_LOCAL_MACHINESYSTEMCurrentControlSetControlSecurityProvidersSCHANNELProtocolsSSL 3.0Server]
   "Enabled"=dword:00000000
   "DisabledByDefault"=dword:00000001
   
   [HKEY_LOCAL_MACHINESYSTEMCurrentControlSetControlSecurityProvidersSCHANNELProtocolsTLS 1.0]
   
   [HKEY_LOCAL_MACHINESYSTEMCurrentControlSetControlSecurityProvidersSCHANNELProtocolsTLS 1.0Client]
   "Enabled"=dword:00000001
   "DisabledByDefault"=dword:00000000
   
   [HKEY_LOCAL_MACHINESYSTEMCurrentControlSetControlSecurityProvidersSCHANNELProtocolsTLS 1.0Server]
   "Enabled"=dword:00000001
   "DisabledByDefault"=dword:00000000
   
   [HKEY_LOCAL_MACHINESYSTEMCurrentControlSetControlSecurityProvidersSCHANNELProtocolsTLS 1.1]
   
   [HKEY_LOCAL_MACHINESYSTEMCurrentControlSetControlSecurityProvidersSCHANNELProtocolsTLS 1.1Client]
   "DisabledByDefault"=dword:00000000
   "Enabled"=dword:00000001
   
   [HKEY_LOCAL_MACHINESYSTEMCurrentControlSetControlSecurityProvidersSCHANNELProtocolsTLS 1.1Server]
   "DisabledByDefault"=dword:00000000
   "Enabled"=dword:00000001
   
   [HKEY_LOCAL_MACHINESYSTEMCurrentControlSetControlSecurityProvidersSCHANNELProtocolsTLS 1.2]
   
   [HKEY_LOCAL_MACHINESYSTEMCurrentControlSetControlSecurityProvidersSCHANNELProtocolsTLS 1.2Client]
   "DisabledByDefault"=dword:00000000
   "Enabled"=dword:00000001
   
   [HKEY_LOCAL_MACHINESYSTEMCurrentControlSetControlSecurityProvidersSCHANNELProtocolsTLS 1.2Server]
   "Enabled"=dword:00000001
   "DisabledByDefault"=dword:00000000

2. 文件執行后，通過快捷鍵 Win+R，在命令框中輸入 regedit 打開注冊表。

3. 打開以下目錄：HKEY_LOCAL_MACHINESYSTEMCurrentControlSetControlSecurityProvidersSCHANNELProtocols。

4. 如果看到的結果與下列截圖一致，則表示注冊表添加成功，TLS1.2 已經添加支持。

   

方法三：執行腳本
把下面的代碼復制到PowerShell里運行一下，然后重啟服務器。

# Enables TLS 1.2 on windows Server 2008 R2 and Windows 7
# These keys do not exist so they need to be created prior to setting values.
md "HKLM:SYSTEMCurrentControlSetControlSecurityProvidersSCHANNELProtocolsTLS 1.2"
md "HKLM:SYSTEMCurrentControlSetControlSecurityProvidersSCHANNELProtocolsTLS 1.2Server"
md "HKLM:SYSTEMCurrentControlSetControlSecurityProvidersSCHANNELProtocolsTLS 1.2Client"
 
# Enable TLS 1.2 for client and server SCHANNEL communications
new-itemproperty -path "HKLM:SYSTEMCurrentControlSetControlSecurityProvidersSCHANNELProtocolsTLS 1.2Server" -name "Enabled" -value 1 -PropertyType "DWord"
new-itemproperty -path "HKLM:SYSTEMCurrentControlSetControlSecurityProvidersSCHANNELProtocolsTLS 1.2Server" -name "DisabledByDefault" -value 0 -PropertyType "DWord"
new-itemproperty -path "HKLM:SYSTEMCurrentControlSetControlSecurityProvidersSCHANNELProtocolsTLS 1.2Client" -name "Enabled" -value 1 -PropertyType "DWord"
new-itemproperty -path "HKLM:SYSTEMCurrentControlSetControlSecurityProvidersSCHANNELProtocolsTLS 1.2Client" -name "DisabledByDefault" -value 0 -PropertyType "DWord"
 
# Disable SSL 2.0 (PCI Compliance)
md "HKLM:SYSTEMCurrentControlSetControlSecurityProvidersSCHANNELProtocolsSSL 2.0Server"
new-itemproperty -path "HKLM:SYSTEMCurrentControlSetControlSecurityProvidersSCHANNELProtocolsSSL 2.0Server" -name Enabled -value 0 -PropertyType "DWord"
# Enables TLS 1.2 on Windows Server 2008 R2 and Windows 7 # These keys do not exist so they need to be created prior to setting values. md "HKLM:SYSTEMCurrentControlSetControlSecurityProvidersSCHANNELProtocolsTLS 1.2" md "HKLM:SYSTEMCurrentControlSetControlSecurityProvidersSCHANNELProtocolsTLS 1.2Server" md "HKLM:SYSTEMCurrentControlSetControlSecurityProvidersSCHANNELProtocolsTLS 1.2Client" # Enable TLS 1.2 for client and server SCHANNEL communications new-itemproperty -path "HKLM:SYSTEMCurrentControlSetControlSecurityProvidersSCHANNELProtocolsTLS 1.2Server" -name "Enabled" -value 1 -PropertyType "DWord" new-itemproperty -path "HKLM:SYSTEMCurrentControlSetControlSecurityProvidersSCHANNELProtocolsTLS 1.2Server" -name "DisabledByDefault" -value 0 -PropertyType "DWord" new-itemproperty -path "HKLM:SYSTEMCurrentControlSetControlSecurityProvidersSCHANNELProtocolsTLS 1.2Client" -name "Enabled" -value 1 -PropertyType "DWord" new-itemproperty -path "HKLM:SYSTEMCurrentControlSetControlSecurityProvidersSCHANNELProtocolsTLS 1.2Client" -name "DisabledByDefault" -value 0 -PropertyType "DWord" # Disable SSL 2.0 (PCI Compliance) md "HKLM:SYSTEMCurrentControlSetControlSecurityProvidersSCHANNELProtocolsSSL 2.0Server" new-itemproperty -path "HKLM:SYSTEMCurrentControlSetControlSecurityProvidersSCHANNELProtocolsSSL 2.0Server" -name Enabled -value 0 -PropertyType "DWord"

配置好后，服務器需要重啟才能生效。
最后，打開網址https://www.ssleye.com/ssltool/cipher_suites.html，錄入域名，檢測是否支持TLS1.2