Cấu hình SSL/TLS hiện đại trên Windows Server (IIS)

Trong môi trường doanh nghiệp, IIS (Internet Information Services) là web server quan trọng để chạy .NET, SharePoint, Exchange Web Services. Để đảm bảo bảo mật và compliance năm 2025, IIS cần được cấu hình TLS 1.2/1.3, loại bỏ cipher yếu, và dùng chứng chỉ SHA256+.

1) Bối cảnh

Windows Server 2016/2019: hỗ trợ TLS 1.2 mặc định, TLS 1.3 chưa ổn định.
Windows Server 2022: hỗ trợ TLS 1.3 native trong Schannel.
Nếu không harden, IIS có thể vẫn bật TLS 1.0/1.1 hoặc cipher yếu (RC4, 3DES), khiến website bị đánh giá kém trên SSL Labs và dễ bị MITM.

Giải pháp: chỉnh Registry/PowerShell để disable TLS cũ và cấu hình lại IIS binding với chứng chỉ chuẩn.

2) Step-by-step cấu hình

Bước 1 — Disable TLS 1.0/1.1 bằng Registry (PowerShell)

# Disable TLS 1.0 (Server)

New-Item "HKLM:\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.0\Server" -Force

New-ItemProperty -path "HKLM:\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.0\Server" -name "Enabled" -value 0 -PropertyType "DWord"

New-ItemProperty -path "HKLM:\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.0\Server" -name "DisabledByDefault" -value 1 -PropertyType "DWord"



# Disable TLS 1.1 (Server)

New-Item "HKLM:\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.1\Server" -Force

New-ItemProperty -path "HKLM:\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.1\Server" -name "Enabled" -value 0 -PropertyType "DWord"

New-ItemProperty -path "HKLM:\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.1\Server" -name "DisabledByDefault" -value 1 -PropertyType "DWord"

Sau đó restart server để áp dụng.

Bước 2 — Bật TLS 1.2 (và TLS 1.3 nếu có)

Windows Server 2016/2019: đảm bảo TLS 1.2 đã bật.
Windows Server 2022: hỗ trợ TLS 1.3 → cần update Windows để có build mới nhất.

# Enable TLS 1.2

New-Item "HKLM:\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.2\Server" -Force

New-ItemProperty -path "HKLM:\...\TLS 1.2\Server" -name "Enabled" -value 1 -PropertyType "DWord"

New-ItemProperty -path "HKLM:\...\TLS 1.2\Server" -name "DisabledByDefault" -value 0 -PropertyType "DWord"

Bước 3 — Cấu hình IIS Site Binding

Mở IIS Manager.
Chọn website → Bindings → HTTPS → chọn chứng chỉ hợp lệ.
- Chứng chỉ phải là SHA256, RSA ≥ 2048 hoặc ECC (P-256/P-384).
- Không dùng SHA1 (bị reject bởi Chrome/Edge/Firefox).

Bước 4 — Test cấu hình TLS

Dùng OpenSSL:

openssl s_client -connect site.example.com:443 -tls1_2
openssl s_client -connect site.example.com:443 -tls1_3

Hoặc dùng Qualys SSL Labs Test để xác minh đạt Grade A/A+.

3) Best Practices 2025

Windows Server 2022: bật TLS 1.3 để tối ưu.
Windows Server 2016/2019: chỉ giữ TLS 1.2, tắt TLS 1.0/1.1.
Ciphers: ưu tiên AES-GCM, ChaCha20-Poly1305, disable RC4/3DES.
IIS Crypto tool: có thể dùng để harden nhanh cấu hình Schannel.
Auto-renew cert: dùng Active Directory Certificate Services (AD CS) hoặc ACME client cho IIS.
Security headers: bật HSTS, X-Content-Type-Options, X-Frame-Options qua IIS.