在Windows Server 2008上部署免费的https证书

背景

1. 后web时代，https加密的重要性不言而喻。主流浏览器均对http站点标记不安全，敦促web服务提供商尽快升级至https。

2. 原先的https证书多由各大域名服务商提供，动辄成千上万的部署证书的费用，一般个人站点及小微企业根本无力承担。感谢开源，我们现在拥有无需付费的 Let s Encrypt 证书进行选择。越来越多的企业开始加入Let s Encrypt 。

3. Apple的上架审核，微信的小程序审核，都需要https证书作为支撑。

4. Let s Encrypt 部署在Linux服务器下，有官方推荐Certbot客户端 可以说是非常方便了。而想在Windows Server上部署，我们还需要一系列的操作进行证书的生成。

准备

在Windows平台上，许多优秀的开源作者已经为我们提供了相当好用的 Let s Encrypt 客户端：

ACMESharp

Certify The Web

win-acme

ssl for free

制作证书

我用的第4个web客户端，win平台下win-acme , ACMESharp（基于PowserShell）这两种用的人都蛮多的。

1. 输入你想要部署https证书的域名（截至2018年04月，Let s encrypt已经支持免费的通配符域名）

2. 我选择的是 dns 校验方式。域名新增一条符合规则的 txt 记录就好。

3. 注意！强烈推荐使用自己的 CSR ！勾选 I have my own CSR 。确保证书的私钥仅有自己知道。

4. Windows平台 CSR生成方式：

在Windows下，在 IIS 中选择服务器->服务器证书->创建申请证书。

密钥位长选2048位

得到txt格式的文件，将公钥复制到sslforfree中（截取-----BEGIN NEW CERTIFICATE REQUEST-----和-----END NEW CERTIFICATE REQUEST-----之间的内容）

1. Linux平台 CSR文件生成方式

利用openssl

openssl req -new -nodes -sha256 -newkey rsa:2048 -keyout myprivate.key -out mydomain.csr

1. 下载证书： 这里证书有两份文件，private.key和certificate.crt，其中private.key应该是空的，这表示用的自己的CSR，sslforfree网站并不知道private.key是多少，安全可靠。

2. crt证书转为iis可用的pfx证书。

这里需要使用open ssl，如果你有Linux服务器或虚拟机的话很方便。否则需要自行Google win平台安装open ssl的方法。

Linux平台下利用open ssl ，利用生成csr文件的private.key，执行下面的命令

openssl pkcs12 -export -out server.pfx -inkey private.key -in certificate.crt

部署证书

1. 在 IIS 中选择服务器->服务器证书->导入上面生成的 pfx 文件。

2. 选择站点，绑定https，选择证书。

3. 开启入站的443端口，至此，部署完毕。

微信小程序 TLS 1.2

由于小程序要求的TLS版本必须大于等于1.2 , 而windows server 2008默认为TLS 1.0

1.解决方案：在Powershell中运行下面代码后重启。

# Enables TLS 1.2 on windows Server 2008 R2 and Windows 7

# These keys do not exist so they need to be created prior to setting values.
md "HKLM:\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.2"
md "HKLM:\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.2\Server"
md "HKLM:\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.2\Client"

# Enable TLS 1.2 for client and server SCHANNEL communications
new-itemproperty -path "HKLM:\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.2\Server" -name "Enabled" -value 1 -PropertyType "DWord"
new-itemproperty -path "HKLM:\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.2\Server" -name "DisabledByDefault" -value 0 -PropertyType "DWord"
new-itemproperty -path "HKLM:\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.2\Client" -name "Enabled" -value 1 -PropertyType "DWord"
new-itemproperty -path "HKLM:\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.2\Client" -name "DisabledByDefault" -value 0 -PropertyType "DWord"

# Disable SSL 2.0 (PCI Compliance)
md "HKLM:\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\SSL 2.0\Server"
new-itemproperty -path "HKLM:\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\SSL 2.0\Server" -name Enabled -value 0 -PropertyType "DWord"
# Enables TLS 1.2 on Windows Server 2008 R2 and Windows 7 # These keys do not exist so they need to be created prior to setting values. md "HKLM:\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.2" md "HKLM:\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.2\Server" md "HKLM:\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.2\Client" # Enable TLS 1.2 for client and server SCHANNEL communications new-itemproperty -path "HKLM:\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.2\Server" -name "Enabled" -value 1 -PropertyType "DWord" new-itemproperty -path "HKLM:\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.2\Server" -name "DisabledByDefault" -value 0 -PropertyType "DWord" new-itemproperty -path "HKLM:\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.2\Client" -name "Enabled" -value 1 -PropertyType "DWord" new-itemproperty -path "HKLM:\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.2\Client" -name "DisabledByDefault" -value 0 -PropertyType "DWord" # Disable SSL 2.0 (PCI Compliance) md "HKLM:\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\SSL 2.0\Server" new-itemproperty -path "HKLM:\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\SSL 2.0\Server" -name Enabled -value 0 -PropertyType "DWord"

2.注意：TLS 1.2 至少需要服务器版本为Windows Server 2008 Service Pack 2 (SP2)