在 Server 2008 R2 上禁用旧 SSL 时出现站点加载和 sql 连接问题答案

【问题标题】：Problems with site loading and sql connections when disabling old SSL on Server 2008 R2在 Server 2008 R2 上禁用旧 SSL 时出现站点加载和 sql 连接问题
【发布时间】：2019-10-23 16:41:37
【问题描述】：

我们有一些 Server 2008 R2 机器（我知道，希望我们很快会迁移到新服务器），我们正在尝试根据安全建议禁用旧的 SSL 协议和密码，但我遇到了一些意想不到的麻烦.我预计旧版本的 IE 将无法加载从该服务器 IIS 提供的网站，但实际上我发现 Chrome v78 无法连接到 IE11 仍然可以连接的站点。此外，该服务器无法连接到另一台服务器上的 SQL 2008 实例 (10.0.5520)，而且我无法找到可用于完成这项工作的最新版本的协议和密码。下面是我们设置服务器支持的内容，我尝试重新启用 TLS 1.1 和 TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA 密码，但到目前为止没有运气，我每次都必须重新启动服务器进行测试，所以很痛苦，所以想知道是否有人有什么见解吗？

Chrome 根本无法加载网站：

SQL Server 无法连接：

【问题讨论】：

什么版本的 SQL Server 2008（顺便说一句，现在完全不受支持，您真的应该查看升级路径）。 Windows Server 2008 还剩不到 3 个月的（扩展）支持。
SQL Server 是 10.0.5520 (SP3)，是的，我们正在尝试迁移，但等待其他人完成他们的任务来协调它。
好吧，这对你来说是一个双重打击。您不仅运行的是完全不受支持的 SQL Server 版本 (SQL Server 2008)，而且您运行的版本远远落后于补丁曲线。是的，TLS1.2 支持已添加到 SQL Server 2008，但它是在 SP4 中添加的。简单的说法是，您未打补丁且不受支持的 SQL Server 版本根本不支持 TLS1.2。您甚至需要安装这些补丁或完成升级。尽快。 TLS 1.2 support for Microsoft SQL Server
说 IE 11 没有其底层操作系统是没有意义的。某些 Windows 版本上的 IE 11 确实支持 TLS 1.2。要对 SQL Server 连接进行故障排除，请使用 Wireshark 之类的工具来分析实际的 TLS 握手数据包。这应该会为您提供有关下一步检查内容的初始数据。
Win 10、Win 8.1 和 Win 7 上的 IE 11 都可以正常加载网站。我的问题是，如果 IE 11 加载，为什么 chrome 不加载它。

标签： sql-server ssl iis server

【解决方案1】：

因为我没有找到任何信息，所以我只需要测试一大堆设置。我发现 SQL Server 2008 只支持 TLS 1.0。

我发现 Chrome 的问题在于它的握手不支持某些密码，所以当我关闭几乎所有密码时，IE 仍然接受我打开的那些，但 Chrome 不支持。

我发现的另一件事是 IIS Cryto 工具具有欺骗性，因为它可以让您检查一系列甚至不在服务器上的协议。

我使用来自https://github.com/rbsec/sslscan/releases 的 SSL 扫描工具来找出服务器实际输出的内容。

是的，我很快就会从 2008 年升级。

我还意识到面向公众的 SSL 实际上是由代理服务器提供的，因此这些仅用于我需要直接在应用服务器上配置的内部 SSL 通信。

【讨论】：