ssl - 需要 IE/IIS 故障排除帮助

Question

我有一个非常奇怪的场景。我有两个网站，一个实时网站和一个测试网站，都是公共(public)网站。 “实时”网站适用于所有浏览器和操作系统。测试网站最初是从实时网站克隆而来的，适用于 Chrome、IE 11(在 Windows 10 上)和 Edge。但是，它不适用于 Windows 7 上的 IE 11。

我查看了两个 IIS 服务器的差异，包括 TLS 差异，但找不到任何差异。

错误是“无法显示此页面”在某些情况下，我得到以下信息；

“在高级设置中打开 TLS 1.0、TLS 1.1 和 TLS 1.2”

我尝试更改浏览器上的所有 TLS 和 SSL 设置组合，但没有任何积极效果。我尝试了 4 台运行 IE 11 的不同 Windows 7 机器，它们都失败了，并显示“无法显示此页面”，有些机器获得了“在高级设置中打开 TLS 1.0、TLS 1.1 和 TLS 1.2”，而其他机器则没有。

我检查了测试服务器上的 IIS 日志，它没有记录任何来自 Win7/IE 浏览器的访问。它确实记录了来自 chrome 和 Win10/IE 浏览器的访问。

我试过Fiddler，访问测试网站时报内部类型错误。错误是“HTTPS 握手失败。System.IO.IOException 无法从传输连接读取数据:现有连接被远程主机强行关闭”

我检查了客户端和服务器上的事件查看器，没有报告相关错误。

我希望得到帮助，尝试获得一些关于如何进一步解决问题的建议。

编辑:

根据下面的评论，我运行了 Qualsys。两台服务器的结果显示出差异，这解释了问题。我不知道如何影响使测试服务器工作的更改。以下是部分结果；

直播服务器；

Cipher Suites 
# TLS 1.2 (suites in server-preferred order) 


TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384 (0xc030)   ECDH x25519 (eq. 3072 bits RSA)   FS  256 
TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256 (0xc02f)   ECDH x25519 (eq. 3072 bits RSA)   FS  128 
TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA384 (0xc028)   ECDH x25519 (eq. 3072 bits RSA)   FS   WEAK  256 
TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA256 (0xc027)   ECDH x25519 (eq. 3072 bits RSA)   FS   WEAK  128 
TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA (0xc014)   ECDH x25519 (eq. 3072 bits RSA)   FS   WEAK  256 
TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA (0xc013)   ECDH x25519 (eq. 3072 bits RSA)   FS   WEAK  128 
TLS_RSA_WITH_AES_256_GCM_SHA384 (0x9d)   WEAK  256 
TLS_RSA_WITH_AES_128_GCM_SHA256 (0x9c)   WEAK  128 
TLS_RSA_WITH_AES_256_CBC_SHA256 (0x3d)   WEAK  256 
TLS_RSA_WITH_AES_128_CBC_SHA256 (0x3c)   WEAK  128 
TLS_RSA_WITH_AES_256_CBC_SHA (0x35)   WEAK  256 
TLS_RSA_WITH_AES_128_CBC_SHA (0x2f)   WEAK  128 




Handshake Simulation 

IE 11 / Win 7  R     RSA 2048 (SHA256)    TLS 1.2    TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA384   ECDH secp256r1   FS    
IE 11 / Win 8.1  R   RSA 2048 (SHA256)    TLS 1.2 > http/1.1      TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA384   ECDH secp256r1   FS    
IE 11 / Win Phone 8.1  R     RSA 2048 (SHA256)    TLS 1.2 > http/1.1      TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA256   ECDH secp256r1   FS    
IE 11 / Win Phone 8.1 Update  R  RSA 2048 (SHA256)    TLS 1.2 > http/1.1      TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA384   ECDH secp256r1   FS    

测试服务器；

Cipher Suites
# TLS 1.2 (suites in server-preferred order)
TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384 (0xc030)   ECDH x25519 (eq. 3072 bits RSA)   FS   256
TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256 (0xc02f)   ECDH x25519 (eq. 3072 bits RSA)   FS   128


Handshake Simulation
IE 11 / Win 7  R    Server closed connection
IE 11 / Win 8.1  R  Server closed connection
IE 11 / Win Phone 8.1  R    Server closed connection
IE 11 / Win Phone 8.1 Update  R Server closed connection

Answer 1

我需要的方向在评论中定义了。我所做的是重置 IIS Crypto“最佳实践”并重新启动。使用 IIS Crypto 完成后，我删除了 TLS 1.0 和 TLS 1.1。重新启动后，一切正常。