在Windows Server 2012 R2上启用TLS1.3

Question

如何在Windows Server 2012 R2上启用TLS1.3。 我能够在Linux上启用TSL1.3，但不能在Windows上启用TSL1.3。

尝试了上面链接中提到的任何内容，但没有帮助

Answer 1

IDK，如果它可以帮助您，但是我在2012 R2服务器上安装了.NET Framework 4.8。

然后，我能够在.NET应用程序中使用TLS13。

它包括系统更新：

在Windows Server 2012中，Microsoft Windows（KB4486081）的更新是
在控制面板中显示在安装更新下。在Windows RT 8.1中，
Windows 8.1或Windows Server 2012 R2，更新Microsoft Windows
（KB4486105）在控制面板中的安装更新下显示。

您也可以尝试仅安装这些更新，但我根本不确定。

Answer 2

截至2020年10月，Windows Server 2012 R2无法在Windows Server 2012 R2上启用TLS 1.3。Windows Server 2012 R2不支持TLS 1.3。

Answer 3

虽然无法简单地在Windows Server 2012 R2中简单地“本机TLS 1.3”支持，但可以使用称为Stunnel的工具对其进行“包装”支持。

最近，我们遇到了一个问题，即我们的ASP应用程序停止通信与API服务器（Zenvios.com），该服务器将其SSL证书升级为TLS 1.3。

类似于安装.NET 4.8如何帮助.NET应用程序（使用其自己的SSL子系统）的问题，Stunnel带有其自己的OpenSSL绑定，这将使它变得适合未来，因为它是一个旧的90年代旧工具，但仍在此维护。一天感谢其简单的实施。

如何确切使用它取决于您的库和工具，但是，基本上，您指示该工具在本地计算机中收听给定端口（ Accept config选项）可能是不同的协议，但是HTTP/HTTPS支持，并将收到的任何内容转发到指定的端点（ Connect ）。

它可以充当 client ，因此，我的旧服务器可以使用现代SSL加密连接到远程服务器，这是我的情况。这基本上是在Windows Server上“启用TLS 1.3支持”。当然，一些事情会改变。

假设您的http客户端/库连接到 https://apiserver.example.org/ ，但缺乏TLS 1.3支持来协商SSL连接。然后，将像这样的配置用于Stunnel：

[apiserver]
client = yes
accept = 8443
connect = apiserver.example.org:443

将使您通过更改客户端/库访问 http：// localHost：8443

caveat 1： 来使您可以从客户端访问该服务器。远程服务器可能需要匹配它的 host http标头，以便将请求提供，就好像您要连接到它一样。 Stunnel不会触摸通信中的任何内容，因此您将在请求中发送主机：localhost 。在这种情况下，您需要将客户设置为主机手动提供此HTTP标头：apiserver.example.org

caveat 2：也可能是您的客户librady允许您简单地指定主机标题。在这种情况下，我可以通过将客户端URL http://apiserver.example.org/ （请注意，我将URL从https转换为http）来避免问题，并设置其代理服务器 <代码> http：// localhost：8443 。这样，它自然使用代理服务器来连接和将主机按必要方式传递。

到目前为止，这涵盖了客户端的访问权限，访问了现代SSL套件下的远程主机。

但是，在将其用作 server 的同时，也有可能对现代安全连接进行 host 。我并没有真正使用该功能的这一侧，但是基本上，您会让您的IIS服务器收听18443端口（可能在Localhost IP中），并使Stunnel实际上听到公共443端口并向前连接到您的本地IIS网站在您可能拥有的出血边缘SSL证书下。然后，配置可能会更改为：

[localserver]
client = no
accept = www.example.com:443
connect = 18443
cert = mywebsite-cert.pem

然后任何连接到

警告1：在此“地图”中丢失的东西将是连接的IP地址。 IIS将看到所有客户，就像他们来自Localhost一样。 Stunnel有自己的日志，可以显示实际的IP地址。 Stunnel还具有“透明”选项，该选项重写源IP以假装连接直接从远程主机，但不仅适用于Windows，而且还需要从OS中捕获系统的数据包。

这是一种超级简单的方法。在安装期间，Stunnel可帮助您制作自签名证书，但是进行实际的SSL证书是一个全新的主题。该工具的配置可能性的完整列表为在其手动页面上记录还有用的链接在其文档页面上。

一般警告：一个人只想“使此代理任何东西”，也就是说，您配置 stunnel 充当代理服务器，以便它可以转发任何发送给它的东西到远程对应的主机。但是我认为这并不是真正的目的，因此可能需要使用实际的代理服务器。

尽管如此，Stunnel是我针对Windows Server 2012 R2找到的解决方案，该解决方案需要使用现代SSL Cyphers访问API主机，使用 Client 选项上述涵盖的选项，需要对我使用的软件进行最小的更改。