IIS TLS 配置生成器（PowerShell）

TLS 配置生成器的 IIS 预设生成一个用于 Windows Server 的 PowerShell 脚本，它会设置 Schannel 接受哪些 SSL/TLS 版本、限制并排序密码套件、导入 PFX 证书、绑定到站点并加上 HSTS 头。用管理员身份运行 PowerShell 执行脚本，然后重启服务器。

示例：中级档（节选）

$base = 'HKLM:\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols'
function Set-Protocol([string]$Name, [bool]$Enabled) {
    foreach ($side in 'Server', 'Client') {
        $key = "$base\$Name\$side"
        New-Item -Path $key -Force | Out-Null
        New-ItemProperty -Path $key -Name 'Enabled' -Value ([int]$Enabled) -PropertyType DWord -Force | Out-Null
        New-ItemProperty -Path $key -Name 'DisabledByDefault' -Value ([int](-not $Enabled)) -PropertyType DWord -Force | Out-Null
    }
}
Set-Protocol 'SSL 3.0' $false
Set-Protocol 'TLS 1.0' $false
Set-Protocol 'TLS 1.1' $false
Set-Protocol 'TLS 1.2' $true
Set-Protocol 'TLS 1.3' $true

$suites = @('TLS_AES_256_GCM_SHA384', 'TLS_AES_128_GCM_SHA256',
    'TLS_ECDHE_ECDSA_WITH_AES_256_GCM_SHA384', 'TLS_ECDHE_ECDSA_WITH_AES_128_GCM_SHA256',
    'TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384', 'TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256')
Get-TlsCipherSuite | Where-Object { $suites -notcontains $_.Name } | ForEach-Object { Disable-TlsCipherSuite -Name $_.Name }

生成的完整脚本还会导入 C:\certs\example.com.pfx、创建带 SNI 的 https 绑定，并添加 Strict-Transport-Security。

国内环境说明

• 阿里云、腾讯云下载的 IIS 证书包里是 .pfx 和一个密码 txt 文件，可以直接给脚本用（运行时会提示输入密码）。手上只有 PEM 文件的，用 PEM 转 PFX 转换；Windows Server 2016 要勾选兼容模式。
• 等保测评和安全扫描常要求关闭 TLS 1.0/1.1 和弱密码套件，这个脚本正好覆盖这两项。

要求

• Windows Server 2016 或更新版本，IIS 10。TLS 1.3 需要 Windows Server 2022+。
• TLS PowerShell 模块（Windows Server 2016 及以后自带），用于密码套件相关命令。
• 带私钥和证书链的 PFX 文件。

运行之后

1. 重启 Windows：Schannel 在启动时读取协议设置。
2. 用 SSL 检查测试站点，确认 TLS 1.0/1.1 被拒绝。
3. 如果某个程序连不上老服务器了，只重新打开对应协议的 Client 端。

常见错误

• “提供给程序包的凭据未被识别”：证书导入时没有带上私钥，或者应用程序池账号读不了私钥。
• 返回了错误的证书：同一 IP 上另一个没有 SNI 的绑定优先了。所有 https 绑定都用 -SslFlags 1（SNI）。