如何为Windows 2012 R2上的.NET4.6应用及SQL Server2012启用TLS1.2通信？

没问题，针对你这种通过WCF间接连接SQL Server、要启用双向TLS1.2的场景，咱们可以分几个关键环节来配置，确保端到端都走TLS1.2：

Windows 2012 R2默认不会强制启用TLS1.2，需要在应用服务器和数据库服务器上都修改注册表，启用TLS1.2并禁用旧协议（避免自动降级到不安全的协议）：

1. 打开注册表编辑器，定位到路径：

   HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols
   

2. 分别创建/修改以下键值：
   • TLS 1.2\Client：
     • DisabledByDefault（DWORD）：设为 0
     • Enabled（DWORD）：设为 1
   • TLS 1.2\Server：
     • DisabledByDefault（DWORD）：设为 0
     • Enabled（DWORD）：设为 1
3. 同时将SSL 3.0、TLS 1.0、TLS 1.1对应的Enabled设为0，DisabledByDefault设为1，彻底禁用旧协议。
4. 修改完成后重启服务器生效。

你的应用基于.NET 4.6（默认支持TLS1.2），但WCF需要明确指定协议规则，避免自动降级：

1. WCF服务端配置（部署在应用服务器上） #

在WCF的配置文件（web.config或app.config）中修改绑定与行为：

<system.serviceModel>
  <!-- 绑定配置：强制使用传输层加密 -->
  <bindings>
    <wsHttpBinding>
      <binding name="SecureTlsBinding">
        <security mode="Transport">
          <!-- 双向TLS需要客户端证书认证，根据你的场景调整clientCredentialType -->
          <transport clientCredentialType="Certificate" />
        </security>
      </binding>
    </wsHttpBinding>
  </bindings>

  <!-- 服务行为：配置服务端证书（双向TLS必备） -->
  <behaviors>
    <serviceBehaviors>
      <behavior name="SecureServiceBehavior">
        <serviceCredentials>
          <serviceCertificate 
            findValue="你的服务端证书指纹" 
            storeLocation="LocalMachine" 
            storeName="My" 
            x509FindType="FindByThumbprint" />
        </serviceCredentials>
      </behavior>
    </serviceBehaviors>
  </behaviors>

  <!-- 关联服务与配置 -->
  <services>
    <service name="YourWcfServiceNamespace.YourService" behaviorConfiguration="SecureServiceBehavior">
      <endpoint address="" binding="wsHttpBinding" bindingConfiguration="SecureTlsBinding" contract="YourWcfServiceNamespace.IYourService" />
    </service>
  </services>
</system.serviceModel>

如果允许修改代码，可在WCF服务启动时强制指定TLS版本：

// 在服务初始化方法中添加
System.Net.ServicePointManager.SecurityProtocol = System.Net.SecurityProtocolType.Tls12;

2. WCF客户端配置（前端应用） #

在前端应用的app.config/web.config中配置客户端绑定：

<system.serviceModel>
  <bindings>
    <wsHttpBinding>
      <binding name="SecureTlsBinding">
        <security mode="Transport">
          <transport clientCredentialType="Certificate" />
        </security>
      </binding>
    </wsHttpBinding>
  </bindings>

  <client>
    <endpoint 
      address="https://your-wcf-service-domain/YourService.svc" 
      binding="wsHttpBinding" 
      bindingConfiguration="SecureTlsBinding" 
      contract="YourWcfClientNamespace.IYourService" />
  </client>
</system.serviceModel>

同样在前端应用启动时添加强制TLS的代码：

// 在应用启动入口添加
System.Net.ServicePointManager.SecurityProtocol = System.Net.SecurityProtocolType.Tls12;

虽然你已经打了SQL Server 2012的TLS1.2补丁，还需要做以下配置：

1. 修改WCF服务的数据库连接字符串，强制加密：

   Server=your-db-server;Database=your-db;User ID=xxx;Password=xxx;Encrypt=True;TrustServerCertificate=False;
   

   （如果是测试环境可临时设TrustServerCertificate=True，生产环境建议用CA颁发的证书）
2. 在SQL Server配置管理器中：
   • 打开SQL Server网络配置 -> SQL Server协议 -> TCP/IP
   • 右键属性 -> 标志选项卡，将“强制加密”设为“是”
   • 证书选项卡，选择对应TLS证书（双向TLS必备）

双向TLS要求客户端与服务端互相验证证书，需完成：

• 将对方的证书导入到各自服务器的受信任的根证书颁发机构存储中（确保证书链可信）
• 客户端（前端应用/WCF服务）需配置自己的证书，供服务端验证

可以通过以下方式确认：

• 用Wireshark抓包，查看应用服务器与数据库服务器、前端与WCF服务之间的通信协议是否为TLS1.2
• 查看SQL Server错误日志，是否存在“已使用TLS 1.2加密与客户端的连接”的日志条目
• 测试端到端调用，确保没有“SSL/TLS握手失败”“证书验证失败”等错误

内容的提问来源于stack exchange，提问作者user1551655