Обратите внимание, этот сценарий отличается от аналогичного: Как отключить TLS 1.0, не нарушая RDP?
Связанный вопрос касается RDP и отключения TLS 1.0.
Этот вопрос касается RemoteApp и отключения TLS 1.0.
У меня уже есть прямой RDP через порт 3389, работающий с TLS 1.2.
У нас есть сервер 2012R2, на котором размещены RemoteApp.
На этом сервере установлены роли шлюза удаленных рабочих столов, веб-доступа к удаленным рабочим столам, посредника подключений к удаленным рабочим столам, узла сеансов удаленных рабочих столов.
RemoteApp обслуживаются через шлюз удаленных рабочих столов по протоколу https. Единственный открытый порт - 443.
У нас есть предоставленный общедоступным CA сертификат SSL с подстановочными знаками, установленный во всех ролях удаленных рабочих столов и IIS, поэтому все восходит к доверенному корневому сертификату.
Сертификат поддерживает TLS 1.2, я вижу это в веб-браузере, когда просматриваю веб-сайт RDWeb.
Мы планируем отключить TLS 1.0 на этом сервере, чтобы усилить безопасность. Мы используем IISCrypto 2.0 для отключения TLS 1.0
Когда мы отключаем TLS 1.0, наблюдаются две вещи:
1. перестают работать RemoteApp. Их нельзя запустить с машины конечного пользователя.
2. Прямые соединения RDP работают нормально.
Когда мы снова включаем TLS 1.0, RemoteApp снова работает.
Ведение журнала SChannel подтверждает, что RemoteApps используют TLS 1.2, поэтому я ожидаю, что RemoteApps продолжат работу, когда TLS 1.0 отключен. Однако я наблюдаю не это.
Все клиенты используют полностью обновленные / исправленные версии Windows 8.1 и 10.
Спустя почти год я наконец-то нашел рабочее решение для отключения TLS 1.0 / 1.1 без нарушения подключения RDP и служб удаленных рабочих столов.
Запустите IISCrypto и отключите TLS 1.0, TLS 1.1 и все плохие шифры.
На сервере служб удаленных рабочих столов, выполняющем роль шлюза, откройте локальную политику безопасности и перейдите к параметрам безопасности - Системная криптография: используйте FIPS-совместимые алгоритмы для шифрования, хеширования и подписи. Измените настройку безопасности на Включено. Перезагрузитесь, чтобы изменения вступили в силу.
Обратите внимание, что в некоторых случаях (особенно при использовании самозаверяющих сертификатов на Server 2012 R2) для параметра политики безопасности «Сетевая безопасность: уровень проверки подлинности LAN Manager» может потребоваться установить значение «Отправлять только ответы NTLMv2».
Сообщите мне, работает ли это и для вас.
Системная криптография: используйте FIPS-совместимые алгоритмы для шифрования, хеширования и подписи.
Это тайно снова активирует старые протоколы. Microsoft даже не рекомендует больше использовать эту настройку.
Я тоже боролся с этим. Я еще не нашел подходящего решения.