如何在Windows Server 2016（IIS 10）上启用SSL3.0与TLS1

我懂你现在的头疼事——照着论坛步骤改了，Windows Server 2016上的IIS 10还是没启用SSL 3.0和TLS 1.0，而且你还不想动客户端代码对吧？别着急，下面我给你梳理几个容易踩坑的排查点和修正步骤，应该能帮你解决问题：

第一步：仔细核对注册表配置（最容易出错的地方） #

很多时候是注册表路径不对、键值设置错误，或者漏建了必要的项。打开注册表编辑器（运行regedit），逐一检查以下路径：

检查SSL 3.0服务器端配置 #

导航到：
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\SSL 3.0\Server
如果SSL 3.0或Server项不存在，手动新建它们。然后确保这两个DWORD（32位）值正确：

• Enabled：设置为0x00000001（十进制1）
• DisabledByDefault：设置为0x00000000（十进制0）

检查TLS 1.0服务器端配置 #

导航到：
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.0\Server
同样，缺失项就手动新建，然后设置：

• Enabled：0x00000001
• DisabledByDefault：0x00000000

第二步：确认IIS站点的SSL协议设置 #

有些时候注册表改对了，但IIS站点层面没开启对应协议：

1. 打开IIS管理器，找到目标站点，右键选择「编辑绑定」，确认HTTPS绑定的SSL证书是有效的。
2. 双击站点的SSL设置，在「SSL协议」区域，确保勾选了SSL 3.0和TLS 1.0（注：部分IIS管理器版本默认隐藏旧协议，这时候以注册表配置为准，但最好还是确认一下）。

第三步：排查组策略是否强制覆盖配置 #

组策略可能会优先级更高，强制禁用这些旧协议：

1. 打开本地组策略编辑器（运行gpedit.msc）
2. 导航到：计算机配置 → 管理模板 → 网络 → SSL配置设置
3. 查看「SSL Cipher Suite Order」和「SSL Protocol Order」这两项：
   • 如果是「已启用」状态，会覆盖你手动设置的注册表项，建议改为「未配置」
   • 改完后运行gpupdate /force刷新组策略

第四步：重启服务/服务器确保配置生效 #

修改注册表和组策略后，必须重启相关服务才能让配置生效：

• 先尝试重启IIS：打开命令提示符，运行iisreset
• 如果还是没效果，直接重启整个服务器（有些系统级的配置只有重启后才会加载）

第五步：验证协议是否真的启用 #

别只看IIS的界面显示，用工具验证更准确：

• 用OpenSSL命令测试：
  • 测试SSL 3.0：openssl s_client -connect 你的服务器IP:443 -ssl3
  • 测试TLS 1.0：openssl s_client -connect 你的服务器IP:443 -tls1
    如果能成功建立连接，说明协议已经启用。
• 也可以用本地的SSL扫描工具（比如Nmap的nmap --script ssl-enum-ciphers -p 443 你的服务器IP）来确认支持的协议列表。

⚠️ 重要提醒：启用SSL 3.0和TLS 1.0会带来明显的安全风险（比如SSL 3.0的POODLE漏洞、TLS 1.0的加密强度不足等），如果不是必须兼容老旧客户端，建议尽量升级客户端代码来使用更安全的TLS 1.2/1.3协议。

内容的提问来源于stack exchange，提问作者xjfromsh