启用TLS 1.2后MS Edge与Chrome无法连接网站求助

问题现象 #

• 服务器环境：Windows Server 2012 R2 部署 IIS 7.5，已禁用 TLS 1.0、TLS 1.1，仅启用 TLS 1.2
• 客户端环境：Windows 10 系统，仅启用 TLS 1.2
• 异常表现：Firefox 可正常访问目标网站；Chrome、MS Edge 在 Client Hello 阶段失败，提示错误 ERR_CONNECTION_RESET；Wireshark 抓包显示 Edge 在 TLS 记录层使用 TSLv1，而 Firefox 使用 TLSv1.2

排查与解决步骤 #

1. 修复客户端Schannel注册表配置 #

Windows 10 客户端的 Schannel 组件注册表配置可能存在异常，导致 Chrome/Edge 调用系统加密库时强制使用旧版 TLS 记录层：

1. 打开注册表编辑器（运行 regedit）
2. 定位到路径：HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols
3. 确认以下配置：
   • TLS 1.0/1.1 的 Client 子项中，DisabledByDefault 设为 1，Enabled 设为 0
   • TLS 1.2 的 Client 子项中，DisabledByDefault 设为 0，Enabled 设为 1
4. 检查 HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings 下的 DefaultSecureProtocols，将其值设为 0x800（仅启用 TLS 1.2）
5. 重启客户端系统生效

2. 重置Chrome/Edge浏览器TLS配置 #

浏览器自定义设置可能覆盖系统TLS配置：

• 在地址栏输入 chrome://settings/security，确认“高级”选项中“使用 TLS 1.2”已勾选
• 输入 chrome://flags/#tls13-variant，将设置恢复为默认
• 重置浏览器：进入设置→重置并清理→将设置恢复为原始默认值

3. 调整服务器端IIS加密套件 #

服务器加密套件可能仅兼容Firefox，导致Chrome/Edge握手失败：

1. 打开IIS管理器→目标网站→绑定→编辑HTTPS绑定→点击“SSL设置”
2. 确认加密套件包含主流TLS 1.2兼容套件，例如：
   TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384,TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256,TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA384
3. 推荐使用IIS Crypto工具可视化配置TLS协议与加密套件，确保套件顺序兼容Chrome/Edge

4. 排查中间设备拦截 #

防火墙、代理等中间设备可能误将Chrome/Edge的TSLv1记录层包识别为旧版TLS协议拦截：

• 临时关闭客户端防火墙或绕过代理测试连接
• 检查服务器端防火墙规则，确保允许TLS 1.2流量通过

内容的提问来源于stack exchange，提问作者LateBloomer