Windows中DTLS密码套件配置及RDP网关连接兼容性问题咨询

看起来你遇到的是DTLS与TLS配置分离导致的典型兼容性问题，我来一步步帮你拆解原因和解决方案：

一、为什么DTLS连接只使用CBC密码套件？ #

你猜的核心方向完全正确——DTLS 1.0确实不支持GCM类密码套件，GCM加密套件是从TLS 1.2（对应DTLS 1.2）才正式引入的标准。这里最关键的细节是：Windows系统中TLS和DTLS的启用/禁用配置是相互独立的，你在客户端禁用了TLS 1.0/1.1，但并没有同步禁用DTLS 1.0，所以客户端发起DTLS连接时依然会默认使用DTLS 1.0版本，只能协商支持该版本的CBC类旧套件。

二、Windows中如何单独配置DTLS？ #

当然可以！Windows提供了专门的注册表和组策略配置项来管控DTLS的版本和密码套件，和TLS的配置体系是分开的：

1. 配置DTLS版本（启用DTLS 1.2，禁用旧版本） #

通过修改注册表来精准控制DTLS的可用版本：

• 打开注册表编辑器，导航到路径：HKLM\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols
• 分别创建（如果不存在）DTLS 1.0、DTLS 1.1、DTLS 1.2三个子项：
  • 对于DTLS 1.0和DTLS 1.1，在各自子项内创建Client和Server子项，然后在每个子项中添加两个DWORD值：DisabledByDefault设为1，Enabled设为0（彻底禁用旧版本）
  • 对于DTLS 1.2，在Client和Server子项中添加两个DWORD值：DisabledByDefault设为0，Enabled设为1（启用新版本）

2. 配置DTLS密码套件 #

DTLS的密码套件顺序也可以单独配置，两种方式可选：

• 注册表方式：导航到HKLM\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Ciphers，对应套件的启用/禁用配置逻辑和TLS一致，但更推荐用组策略统一管理。
• 组策略方式：打开组策略编辑器（gpedit.msc），导航到：
  Computer Configuration > Administrative Templates > Network > SSL Configuration Settings
  这里除了你已经配置的SSL Cipher Suite Order，还有一个**DTLS Cipher Suite Order**的策略项（注意该选项需要Windows 10 1809+、Windows Server 2019+及以上版本支持）。启用该策略后，输入你需要的DTLS套件列表（按优先级排序），比如：

  TLS_AES_256_GCM_SHA384,TLS_AES_128_GCM_SHA256,TLS_ECDHE_ECDSA_WITH_AES_256_GCM_SHA384,TLS_ECDHE_ECDSA_WITH_AES_128_GCM_SHA256,TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384,TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256
  

三、解决RDP网关的DTLS连接问题 #

针对你的RDP网关场景，建议按以下步骤落地：

1. 在RDP网关服务器和客户端上同步配置：启用DTLS 1.2，禁用DTLS 1.0/1.1（通过上述注册表或组策略）
2. 在网关服务器上配置DTLS Cipher Suite Order，加入你现有的GCM类安全套件
3. 验证配置：修改后重启服务器和客户端，再用Wireshark抓包确认DTLS连接使用的是1.2版本和GCM套件
4. 兼容兜底：如果有旧客户端不支持DTLS 1.2，可以暂时保留DTLS 1.0但严格限制其可用套件，或者优先升级客户端系统到支持DTLS 1.2的版本

另外需要注意：RDP网关的DTLS连接依赖RD Gateway服务的正常运行，配置修改后务必重启服务，同时确保没有第三方防火墙或代理拦截了UDP 3391端口的DTLS流量。

备注：内容来源于stack exchange，提问作者MasteOfDisaste