exchange2010开启tls1.2

Posted 2022-02-16 hstao2008

近期接到部分客户反馈安装了win11以及部分win10更新了某些补丁后，访问exchange2010的owa界面无法访问，出现以下提示：此站点的连接不安全，不支持的协议（客户端和服务器不支持常用的SSL协议版本或xx套件）

出现该问题的原因为，exchange2010不支持tls1.2。但是win11禁用tls1.0和tls1.1，仅支持tls1.2，同时win10更新某些补丁后与win11支持情况一致，导致这部分较新的系统访问exchange2010出现问题。

解决方法：

开启exchange2010支持tls1.2功能。

首先需满足以下条件

启用 TLS 1.2

在 Windows 2008 R2 SP1 中，支持 TLS 1.2，但默认禁用。当然，服务器应该完全打补丁，并且应该包括​​KB3161949 ​​、KB3080079和KB3154​​518（对于 .NET Framework 3.5.1）。

如果您在 Windows 2012（其中 TLS 1.2 是默认安全协议）上运行 Exchange 2010，则应安装​​KB3161949​​和​​KB3154519​​（适用于 .NET Framework 3.5.1）。 Exchange 2010 本身应配置汇总更新 RU19 或更高版本以支持 TLS 1.2。

在我们现有环境中，查看对应补丁是否已经安装，可以看到KB3161949已安装

KB3080079被KB4534310替代了（可以在这里查询补丁是否被替代，被什么补丁替代​​Microsoft Update Catalog）​​​

这里我们可以看到KB4534310也已经安装了​​​​

最后一个KB3154518是针对.net3.5.1的补丁，那么我们看到，我们的系统已经安装了.net4.8，所以这个补丁已经不需要了。

接下来可以直接开启tls1.2

在注册表中添加以下注册表项或者值：（注意TLS 1.2之间有空格）

[HKEY_LOCAL_MACHINE\\SYSTEM\\CurrentControlSet\\Control\\SecurityProviders\\SCHANNEL\\Protocols\\TLS 1.2]

[HKEY_LOCAL_MACHINE\\SYSTEM\\CurrentControlSet\\Control\\SecurityProviders\\SCHANNEL\\Protocols\\TLS 1.2\\Client]

“DisabledByDefault”=dword:00000000“Enabled”=dword :00000001

首先添加TLS 1.2及Client/Server项。

之后在Client中添加以下值

Server中添加相同的值

之后，重启以使更改生效。

下一步是为 .NET Framework 3.5.1 启用 TLS 1.2。为此，请进行以下注册表更改：

[HKEY_LOCAL_MACHINE\\SOFTWARE\\Microsoft\\.NETFramework\\v2.0.50727]“SystemDefaultTlsVersions”=dword:00000001

[HKEY_LOCAL_MACHINE\\SOFTWARE\\Wow6432Node\\Microsoft\\.NETFramework\\v2.0.50727]“SystemDefaultTlsVersions”=dword:00000001

请注意两个条目之间的差异。第一个在 SOFTWARE\\Microsoft 节点中（如下所示），第二个在 SOFTWARE\\Wow6432Node 节点中！

重启使更改生效。(实际上.net3.5的我不添加注册表也可以生效，不知道为啥，知道的大佬指点下）

再次使用edge或谷歌浏览器打开owa，可以看到正常访问。