TFS TLS 1.1/1.2答案

【问题标题】：TFS TLS 1.1/1.2TFS TLS 1.1/1.2
【发布时间】：2018-07-17 18:01:34
【问题描述】：

我们目前在 Windows server 2012 R2 上使用 TFS 2015.3。使用 NARTAC 指定使用 TLS1.1/1.2 并禁用 TLS1.0 后，我们的构建层服务器无法连接到应用层服务器。

有没有人遇到同样的问题并解决了？谢谢

问候，

【问题讨论】：

标签： ssl tfs

【解决方案1】：

似乎 TLS 1.1 和 TLS 1.2 不支持它。

确保您安装的 TFS、底层 .NET 版本和 Windows Server 都支持 TLS 1.2 端点。

TFS 使用的 .NET Framework 版本必须支持 TLS 1.2。某些 .NET Framework 版本可能需要对“SchUseStrongCrypto”进行额外的注册表设置，如here 所述。

不管怎样，你可以试试下面提到的解决方案：

默认情况下，.Net 有一个名为“useStrongCrypto”的设置，允许客户端 PC 使用 TLS 1.1 及更高版本。

为了让您的本地客户端 PC 能够使用 TLS 1.1 及更高版本（或作为 Microsoft 术语是“强加密”）您需要编辑以下内容注册表项：

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\.NETFramework\v4.0.30319\SchUseStrongCrypto = 00000001 HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\Microsoft\.NETFramework\v4.0.30319\SchUseStrongCrypto= 00000001

或者您可以简单地将以下内容剪切并粘贴到 .reg 文件中并运行它（只有在您知道自己在做什么的情况下才这样做）。

Windows Registry Editor Version 5.00

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\.NETFramework\v4.0.30319] "SchUseStrongCrypto"=dword:00000001

[HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\Microsoft\.NETFramework\v4.0.30319] "SchUseStrongCrypto"=dword:00000001

来源：Getting WebDeploy working after disabling insecure Ciphers like SSL 3.0 and TLS 1.0

还有这篇文章供大家参考：Misbehaving HTTPS Servers impair TLS 1.1 and TLS 1.2

【讨论】：

它在我们的服务器上不工作。我不确定 TFS 2015.3 是否支持 TLS 1.2。我们的服务器是 Windows server 2012 R2，TLS 1.2 没有问题。我们有 .net framework 4.6.1 作为 .net framework 的最高版本和一些较低版本，2.0、3.0、3.5。我们使用 IISCrypto 指定 TLS1.2 和 TFS URL 可以访问，但是我们失去了构建功能。应用层服务器和构建层服务器之间的连接似乎丢失了。
此注册表项不起作用。 [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\.NETFramework\v2.0.50727] "SystemDefaultTlsVersions"=dword:00000001 [HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\Microsoft\.NETFramework\v2.0.50727] "SystemDefaultTlsVersions"=dword:00000001
此注册表项也不起作用。 HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft.NETFramework\v4.0.30319\SchUseStrongCrypto = 00000001 HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\Microsoft.NETFramework\v4.0.30319\SchUseStrongCrypto= 00000001
@robin 您是否尝试添加这两个条目？注意在.NETFramework\v4.0.30319下添加条目
对于 .NETFramework\v4.0.30319 下的条目，我尝试过 HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft 和 HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\Microsoft 并添加 dword SchUse‌StrongCrypto= 00000001，但它们不起作用

【解决方案2】：

不是 \Microsoft.NETFramework\ 您忘记了第二个注册表集 Microsoft 之后的 \

用途：

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\.NETFramework\v4.0.30319]
    "SchUseStrongCrypto"=dword:00000001
[HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\Microsoft\.NETFramework\v4.0.30319]
    "SchUseStrongCrypto"=dword:00000001

【讨论】：