Windows7下IE11无法访问网页，禁用TLS1.2可恢复的问题排查请求

这种情况我碰到过好几次，核心问题大概率出在IE11对TLS1.2的兼容性细节上，结合你的服务器配置，主要有这几个可能：

• 服务器端TLS1.2加密套件不被Win7 IE11支持
  Win7上的IE11支持的TLS1.2加密套件范围非常有限，它不兼容很多现代的ECDHE-RSA或AES-GCM类套件。如果你的服务器优先启用了这些IE11识别不了的套件，TLS握手就会直接失败。而禁用TLS1.2后，浏览器会自动 fallback 到TLS1.0/1.1，这时候用的是双方都支持的旧套件，所以能正常访问。
  你可以检查服务器的加密套件配置，确保加入Win7 IE11兼容的TLS1.2套件，比如 TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA384、TLS_RSA_WITH_AES_256_CBC_SHA256 这类相对老旧的套件。

• Win7系统缺少TLS1.2的关键补丁
  Win7原生的IE11对TLS1.2的支持并不完善，必须安装KB3140245这类系统补丁，才能让IE11正常处理TLS1.2的高级握手逻辑。如果访问的客户端没装这个补丁，启用TLS1.2时就会出现连接失败，禁用后切换到旧版本TLS就绕开了这个限制。

• 服务器TLS1.2的扩展特性不兼容
  有些服务器会启用TLS1.2的扩展功能（比如ALPN、特定SNI用法），但Win7 IE11对这些扩展的支持存在缺陷，导致握手过程中出现错误。切换到TLS1.0/1.1时，这些扩展不会被触发，所以连接能成功建立。

• TLS1.2对证书链的验证更严格
  虽然TLS1.0/1.1能正常访问，但TLS1.2对证书链的完整性验证要求更高。如果你的服务器配置的证书链不完整，或者使用了IE11不认可的根证书，在TLS1.2握手时就会验证失败；而旧版本TLS对证书链的验证相对宽松，所以能通过。

快速验证建议 #

你可以用OpenSSL命令行模拟Win7 IE11的TLS1.2握手，定位具体问题：

openssl s_client -connect your-domain.com:443 -tls1_2 -cipher "ECDHE-RSA-AES256-SHA384:AES256-SHA256"

如果握手失败，基本可以确定是加密套件不兼容；如果握手成功，那问题大概率出在客户端的系统补丁或IE设置上。

内容的提问来源于stack exchange，提问作者user2307155