为 Horizon Blast Windows 服务配置安全协议和密码套件

您可以使用 Windows 注册表配置 Horizon Blast Windows 服务使用的密码套件和安全协议。

Blast Windows 服务支持以下安全协议，具体取决于 Horizon Agent 的发行版本。

始终不允许使用旧协议（例如 SSLv3 和更低版本）。SslProtocolLow 和 SslProtocolHigh 这两个注册表值决定 Blast Windows 服务接受的协议范围。

您必须使用 OpenSSL 中定义的格式指定密码列表。有关正确密码列表格式的准则，可以在 Web 浏览器中搜索 openssl cipher string。默认密码列表如下所示：

ECDHE-RSA-AES256-GCM-SHA384:ECDHE-RSA-AES128-GCM-SHA256

TLS_AES_256_GCM_SHA384:TLS_AES_128_GCM_SHA256

步骤

1. 启动 Windows 注册表编辑器。

2. 导航到 HKEY_LOCAL_MACHINE\SOFTWARE\Omnissa\Horizon\Blast\Config 注册表项。

3. 要指定协议范围，请添加两个新的字符串 (REG_SZ) 值：SslProtocolLow 和 SslProtocolHigh。

   要仅启用一个协议，请在数据字段中为两个注册表值指定相同的协议。例如，设置 SslProtocolLow=tls_1.3 和 SslProtocolHigh=tls_1.3 会将 Blast Windows 服务配置为仅接受 TLS 1.3。

   **注意：**如果注册表值不存在，或者其数据未设置为受支持的协议字符串，则使用默认协议设置。支持的协议字符串如下所示：

   • tls_1.3（仅适用于 Horizon Agent 2312 及更高版本）
   • tls_1.2
   • tls_1.1
   • tls_1.0（仅适用于 Horizon Agent 2309 及更低版本）

4. 要指定密码套件列表，请添加如下新字符串 (REG_SZ) 值：

   • 对于 TLS 1.1 或 TLS 1.2，添加 SslCiphers 值。
   • 对于 TLS 1.3，添加 SslCipherSuites 值。 在注册表值的数据字段中键入或粘贴密码套件列表。

5. 重新启动 Blast Windows 服务。

结果

Blast Windows 服务启动时，会将协议和密码信息写入其日志文件。您可以检查日志文件以确定生效的值。

要恢复为使用默认密码列表，请删除 SslCiphers 或 SslCipherSuites 注册表值并重新启动 Blast Windows 服务。不要删除值的数据部分。如果删除值的数据部分，Blast Windows 服务将会依据 OpenSSL 密码列表格式定义将所有密码视为不可接受。

**注意：**随着网络安全方面的最佳实践不断改进，默认的协议和密码套件可能还会变更。