如何配套 IIS 加密套件优化配置?
美国、香港服务器
如何配套 IIS 加密套件优化配置?
09-15 来源:
## 方式 1：PowerShell 一键设置加密套件
注意：Windows Server 2012 **套件顺序由系统 SCHANNEL 决定**，下面是推荐优先级，执行后需要**重启服务器生效**
# 推荐加密套件顺序（TLS1.2专用，无弱加密）
$cipherList = @(
"TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA384",
"TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA256",
"TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA",
"TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA",
"TLS_DHE_RSA_WITH_AES_256_CBC_SHA",
"TLS_DHE_RSA_WITH_AES_128_CBC_SHA",
"TLS_RSA_WITH_AES_256_CBC_SHA256",
"TLS_RSA_WITH_AES_128_CBC_SHA256",
"TLS_RSA_WITH_AES_256_CBC_SHA",
"TLS_RSA_WITH_AES_128_CBC_SHA"
) -join ","
# 设置本地安全策略加密套件顺序
New-ItemProperty -Path "HKLM:\SOFTWARE\Policies\Microsoft\Cryptography\Configuration\SSL\00010002" `
-Name Functions -Value $cipherList -PropertyType String -Force
Write-Host "加密套件配置写入完成，重启服务器生效！"
### 查看当前加密套件命令
Get-ItemProperty -Path "HKLM:\SOFTWARE\Policies\Microsoft\Cryptography\Configuration\SSL\00010002"
## 方式 2：组图形界面配置（可选）
1. Win+R → 输入 `secpol.msc` 打开**本地安全策略**
2. 安全设置 → 本地策略 → 安全选项 → **系统加密：将 FIPS 兼容算法用于加密、哈希和签名**
不建议随便开启 FIPS，开启会限制可用加密套件，部分.NET 程序会报错。
3. 安全设置 → 密码策略下面的 **SSL 配置**（密码套件顺序），手动粘贴上面套件列表。
## 方式 3：IIS 站点额外加固（web.config，作用于站点）
IIS 本身不能修改系统级加密套件（套件属于 Windows SCHANNEL 底层），但是可以在站点 web.config 配置 HTTP 安全响应头，配合 TLS 优化：
## 禁用弱加密套件注册表脚本（SCHANNEL 层，推荐一起执行）
# 禁用RC4
New-ItemProperty -Path "HKLM:\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Ciphers\RC4 128/128" -Name Enabled -Value 0 -PropertyType DWord -Force
New-ItemProperty -Path "HKLM:\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Ciphers\RC4 40/128" -Name Enabled -Value 0 -PropertyType DWord -Force
New-ItemProperty -Path "HKLM:\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Ciphers\RC4 56/128" -Name Enabled -Value 0 -PropertyType DWord -Force
# 禁用3DES
New-ItemProperty -Path "HKLM:\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Ciphers\Triple DES 168" -Name Enabled -Value 0 -PropertyType DWord -Force
执行后**重启服务器**。
## 配套重要注意事项（Server2012 重点）
1. **Windows Server2012 不支持 AES-GCM**（GCM 是 AEAD，安全性更高，2012 没有原生支持，2016 + 才有），只能用 CBC 套件，这是系统硬限制。
2. 套件顺序：**ECDHE 放最前面**，支持前向保密，安全评分更高。
3. 操作顺序建议：
① 先开启 TLS1.2，安装 KB3140245 补丁
② 执行加密套件脚本 + 禁用 RC4/3DES
③ 重启服务器，业务测试访问
④ 业务全部正常，再关闭 TLS1.0/1.1
4. 测试工具：配置完成后，用 [ssllabs.com](https://www.ssllabs.com/ssltest/) 扫描域名，查看 SSL 评分。
5. CDN 场景：**如果使用 CDN**，CDN 节点的加密套件在 CDN 控制台配置，源站 IIS 只负责回源 TLS1.2。
## 回滚加密套件（恢复系统默认）
Remove-ItemProperty -Path "HKLM:\SOFTWARE\Policies\Microsoft\Cryptography\Configuration\SSL\00010002" -Name Functions -Force
删除注册表项，重启服务器恢复 Windows 默认套件。
## 可选工具：IIS Crypto（图形化一键调 TLS + 套件）
IIS Crypto 是可视化工具，可以勾选 TLS 版本、一键排序加密套件，适合不想写注册表 / PowerShell 的场景，支持 Server2012。
三二互联专业提供香港VPS,美国VPS主机,香港云服务器租用等业务香港美国到大陆CN2 GIA速度最快
