Thiếu bộ mật mã trên Windows Server 2019

Question

Tôi đang sử dụng Chuỗi tác vụ MEMCM để tạo máy chủ chạy Windows Server 2019. Cho đến nay, tôi xây dựng 22 máy chủ với Hệ điều hành này. Vào cuối OSD, trên 20 trong số đó, tôi chỉ có 10 bộ mật mã có sẵn để sử dụng.

TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA256_P256
TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA256_P384
TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA_P256
TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA_P384
TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA_P256
TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA_P384
TLS_RSA_WITH_AES_128_CBC_SHA256
TLS_RSA_WITH_AES_128_CBC_SHA
TLS_RSA_WITH_AES_256_CBC_SHA256
TLS_RSA_WITH_AES_256_CBC_SHA

Trên hai máy chủ có nhiều bộ mật mã hơn, tôi có sẵn 31 bộ mật mã sau.

TLS_AES_256_GCM_SHA384
TLS_AES_128_GCM_SHA256
TLS_ECDHE_ECDSA_WITH_AES_256_GCM_SHA384
TLS_ECDHE_ECDSA_WITH_AES_128_GCM_SHA256
TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384
TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256
TLS_DHE_RSA_WITH_AES_256_GCM_SHA384
TLS_DHE_RSA_WITH_AES_128_GCM_SHA256
TLS_ECDHE_ECDSA_WITH_AES_256_CBC_SHA384
TLS_ECDHE_ECDSA_WITH_AES_128_CBC_SHA256
TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA384
TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA256
TLS_ECDHE_ECDSA_WITH_AES_256_CBC_SHA
TLS_ECDHE_ECDSA_WITH_AES_128_CBC_SHA
TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA
TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA
TLS_RSA_WITH_AES_256_GCM_SHA384
TLS_RSA_WITH_AES_128_GCM_SHA256
TLS_RSA_WITH_AES_256_CBC_SHA256
TLS_RSA_WITH_AES_128_CBC_SHA256
TLS_RSA_WITH_AES_256_CBC_SHA
TLS_RSA_WITH_AES_128_CBC_SHA
TLS_RSA_WITH_3DES_EDE_CBC_SHA
TLS_RSA_WITH_NULL_SHA256
TLS_RSA_WITH_NULL_SHA
TLS_PSK_WITH_AES_256_GCM_SHA384
TLS_PSK_WITH_AES_128_GCM_SHA256
TLS_PSK_WITH_AES_256_CBC_SHA384
TLS_PSK_WITH_AES_128_CBC_SHA256
TLS_PSK_WITH_NULL_SHA384
TLS_PSK_WITH_NULL_SHA256

Trên các máy chủ có bộ mật mã hạn chế, tôi đã thêm các khóa đăng ký bắt buộc để kích hoạt TLS 1.2 HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.2và thực hiện khởi động lại nhưng vẫn không có gì thêm. Và trên các máy chủ có 31 bộ mật mã, tôi không biết điều gì đã được thay đổi để chúng có sẵn. Tôi cũng đã thử sử dụng Enable-TlsCipherSuite -Name XXXnhưng không thành công. Cuối cùng, các máy chủ được cập nhật với các bản cập nhật tháng 8 năm 2020.

Bất kỳ ý tưởng nào tại sao lại thiếu mật mã và làm thế nào tôi có thể thêm chúng?

Answer 1

TLS 1.2 được bật theo mặc định.

Khóa đăng ký cho mật mã là:

HKLM\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Ciphers

https://techcommunity.microsoft.com/t5/core-infrastructure-and-security/demystifying-schannel/ba-p/259233

Answer 2

Lý do ngu ngốc. Có một GPO cũ giới hạn danh sách mật mã ở 10 mật mã đó. rsopkhông hiển thị gì nhưng gpresult /hđang hiển thị những gì tôi cần. :)