Erros SChannel após ativar o SSL em um Windows Server 2012 R2

Question

Eu tenho uma instância do Windows Server 2012 R2 no Azure. Para um novo site, solicitei um certificado da GlobalSign. Depois de obter os certificados deles, concluí a solicitação de certificado no IIS e instalei o certificado de raiz.

Mudei o site para uma nova instância, por isso exportei o certificado com sua chave privada e importei-o na nova instância.

Essa foi a minha instalação e pareceu funcionar muito bem.

Agora estou recebendo muitos erros SChannel. Eles são:

A fatal alert was generated and sent to the remote endpoint. This may result in termination of the connection. The TLS protocol defined fatal error code is 40. The Windows SChannel error state is 1205.

A fatal alert was generated and sent to the remote endpoint. This may result in termination of the connection. The TLS protocol defined fatal error code is 20. The Windows SChannel error state is 960.

An SSL 3.0 connection request was received from a remote client application, but none of the cipher suites supported by the client application are supported by the server. The SSL connection request has failed.

É a primeira vez que uso SSL e, para ser honesto, não tenho ideia do que estou fazendo. Para mim, parece bem quando eu solicito o site ( link ).

Já usei o SSL Check da GlobalSign, que me dá o nível C. link

Aqui está uma lista dos certificados da mmc (meu site é laola.biz ):

Intermediário

Raiz

Pessoal

Alguma idéia do que eu poderia ter feito de errado aqui?

    

Answer 1

Como pessoas diferentes (bem intencionadas ou não) tentam acessar seu site a partir de vários dispositivos que executam vários navegadores em vários sistemas operacionais, dependendo do protocolo escolhido para proteger essa comunicação, você verá mensagens pela fonte do schannel.

O seguinte blog deve ajudá-lo a entender algumas das mensagens que você vê nos seus registros. link

A nota que você tem lá é um pouco preocupante. Você não teria o SSL3 ativado se você publicou o site diretamente nos sites do Azure.

Você pode desativar o SSL3 usando a orientação aqui link

Se você puder mover o site de uma VM para um site do Azure em si, isso seria melhor. Isso evitará que você tenha que corrigir e proteger as VMs usadas para hospedar o site. Em vez disso, você depende do Azure PaaS para fornecer a plataforma para hospedar o site. Você cuida do código do site enquanto o Azure protege e mantém o IIS / plataforma.

As próximas mudanças na plataforma da perspectiva do TLS são refletidas no link . Você pode testar isso para ver a classificação que seu site pode obter se você migrar o site diretamente para um site do Azure.