SSL连接加密协商

Question

我在多个虚拟机 (Windows 2012 R2) 上安装了一个基于 .Net 的网站，并在两个虚拟机上使用相同版本的相同安装程序。此安装的一部分包括生成自签名 ssl 证书。通过 https 访问这两个网站时，一个在使用 Firefox 时显示“安全连接失败”，但另一个服务器/网站工作正常。两者都可以在 IE 中正常加载。

当查看页面属性(从 IE)时，失败的站点指示连接“TLS 1.0，具有 128 位加密(高)的 AES；具有 2048 位交换的 RSA”，而成功的站点指示“TLS 1.2，具有 256 位加密(高)的 AES；具有 256 位交换的 ECDH_P256”。

我应该查看哪些服务器设置以确定两者之间的区别？

Answer 1

我将其追踪到使用 SHA512 的自签名证书与 TLS 之间的不兼容性。将证书更改为使用 SHA256 解决了该问题。一个 VM 与另一个 VM 失败的原因是注册表设置，它决定了是否支持 SHA512。成功的机器支持 512，失败的机器不支持。

https://blogs.technet.microsoft.com/silvana/2014/03/14/schannel-errors-on-scom-agent/