IIS SSL/TLS Protocol Ayarları

IIS kendi başına TLS sürümü seçmez; Windows'un güvenli kanal bileşeni Schannel bu işi yapar. Bu yüzden IIS'te protokol ayarı, işletim sistemi düzeyinde kayıt defteri anahtarlarıyla veya grup ilkesiyle yönetilir. IIS Manager'da bu amaçla bir ekran yoktur.

Windows sürümü ve TLS 1.3

• Windows Server 2016 ve 2019: TLS 1.2 desteklenir, TLS 1.3 yoktur.
• Windows Server 2022 ve sonrası: TLS 1.3 desteği bulunur.

Kayıt defteriyle TLS 1.0'ı kapatma

Değişiklikten önce regedit ile ilgili anahtarı dışa aktararak yedek alın. Ardından yönetici PowerShell'de:

$p = "HKLM:\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.0\Server"
New-Item -Path $p -Force | Out-Null
New-ItemProperty -Path $p -Name Enabled -Value 0 -PropertyType DWord -Force
New-ItemProperty -Path $p -Name DisabledByDefault -Value 1 -PropertyType DWord -Force

Aynı işlemi TLS 1.1 için tekrarlayın. TLS 1.2 için Enabled=1 ve DisabledByDefault=0 yazabilirsiniz. Değişiklikler sunucu yeniden başlatıldığında tam olarak etkin olur.

Araç kullanımı

Kayıt defterini elle düzenlemek istemezseniz üçüncü taraf "IIS Crypto" benzeri araçlar aynı anahtarları arayüzle yönetir. Hangi aracı seçerseniz seçin, önce test sunucusunda deneyin.

Sonrasında kontrol

1. Sunucuyu yeniden başlatın.
2. Dışarıdan nmap --script ssl-enum-ciphers -p 443 sunucu ile etkin protokolleri listeleyin.
3. .NET uygulamaları eski protokol zorlamışsa güncelleyin (ör. uygulamayı güncel .NET sürümüne taşıyın veya sistem varsayılanlarını kullanın).
4. SQL Server, Exchange gibi bağımlı servislerin TLS 1.2'yi desteklediğini doğrulayın.

Dikkat

Sık görülen sorunlar

• Ayar sonrası bir uygulama bağlanamıyor: Uygulama eski bir .NET sürümüyle TLS 1.2'yi açıkça istemiyor olabilir.
• Değişiklik etkisiz: Yeniden başlatma yapılmamıştır ya da grup ilkesi yerel ayarı eziyordur.
• HTTP.sys bağlamaları: netsh http show sslcert ile sertifika bağlarını görüntüleyebilirsiniz.

Yanlış kayıt defteri değişikliği RDP ve diğer servisleri etkileyebilir; uzaktan bağlantınızı kaybetmemek için yedek erişim yolu hazır tutun. Sonuçları SSL kontrol aracıyla görebilir, sertifika seçenekleri için SSL sertifikaları sayfasına bakabilirsiniz.