Como desabilitar o TLS 1.0 sem interromper o RemoteApps no servidor 2012 R2

Question

Por favor, note que este cenário é diferente de um similar: Como desabilito o TLS 1.0 sem interromper o RDP?

A pergunta vinculada é sobre o RDP e a desativação do TLS 1.0.

Esta questão é sobre o RemoteApp e desabilitar o TLS 1.0

Já tenho o RDP direto na porta 3389 que trabalha com o TLS 1.2.

Temos um servidor 2012R2 que hospeda o RemoteApp.

Temos o RD Gateway, o RD Web Access, o Agente de Conexão RD, as funções do Host de Sessão RD instaladas neste servidor.

Os RemoteApp são veiculados pelo Gateway RD por meio de https. A única porta pública que temos aberta é a 443.

Temos um certificado SSL curinga fornecido pela CA público instalado em todas as Funções RD e IIS, portanto, tudo é rastreado de volta para um certificado raiz confiável.

O certificado suporta o TLS 1.2, vejo isso em um navegador da web quando vejo o site da RDWeb.

Estamos tentando desativar o TLS 1.0 neste servidor para aumentar a segurança. Estamos usando o IISCrypto 2.0 para desabilitar o TLS 1.0

Quando desabilitamos o TLS 1.0, duas coisas são observadas:

1.O RemoteApp parou de funcionar. Eles não podem ser iniciados a partir de uma máquina do usuário final.

2.As conexões RDP simples funcionam bem.

Quando reativamos o TLS 1.0, o trabalho do RemoteApp volta a funcionar.

O registro SChannel confirma que os RemoteApps estão usando o TLS 1.2, portanto, esperaria que os RemoteApps continuassem funcionando quando o TLS 1.0 estiver desativado. No entanto, não é isso que estou observando.

Todos os clientes estão usando versões totalmente atualizadas / corrigidas do Windows 8.1 e 10.

    

Answer 1

Após quase um ano, finalmente descobri uma solução funcional para desabilitar o TLS 1.0 / 1.1 sem interromper a conectividade do RDP e dos Serviços de Área de Trabalho Remota.

Execute o IISCrypto e desative o TLS 1.0, o TLS 1.1 e todas as cifras inválidas.

No servidor dos Serviços de Área de Trabalho Remota executando a função de gateway, abra a Política de Segurança Local e navegue até Opções de Segurança - Criptografia do sistema: use algoritmos compatíveis com FIPS para criptografia, hashing e assinatura. Altere a configuração de segurança para Ativado. Reinicialize para que as alterações entrem em vigor.

Observe que, em alguns casos (especialmente se estiver usando certificados auto-assinados no Server 2012 R2), a opção Security Policy Network Security: LAN Manager pode precisar ser definida para Enviar apenas respostas NTLMv2.

Deixe-me saber se isso funciona para você também.