我正在努力更改我管理的许多 Web 服务器上的密码规范，以避免每个人都在谈论的 BEAST/BREACH/CRIME 混乱。
在我们的 LAMP 主机上，我只是升级到 OpenSSL 1.0.1 和 Apache 2.4，并使用了这些密码规范：
SSLCipherSuite ECDHE-RSA-AES256-GCM-SHA384:ECDHE-RSA-AES128-GCM-SHA256:DHE-RSA-AES256-GCM-SHA384:ECDH-RSA-AES256-GCM-SHA384:AES256-GCM-SHA384:ECDHE-RSA -RC4-SHA384:ECDHE-RSA-RC4-SHA:AES256-GCM-SHA256:RC4-SHA:ECDHE-RSA-AES256-SHA384:ECDHE-RSA-AES128-SHA256:DHE-RSA-AES256-SHA:DHE-RSA -CAMELLIA256-SHA:AES256-SHA256:AES256-SHA128:AES128-SHA128:AES256-SHA:AES128-SHA:!MD5:!NULL
我想要哪个功能——兼容的客户端通常会从主题中获得密码规范，并希望在未来兼容 TLS 1.2 的客户端将获得 GCM 套件，并且一切都非常优雅地失败。但是，我们有一些非常重要的 ASP.NET 应用程序在 Server 2008 R2 上的 IIS 7.5 中运行（完全修补），组策略“SSL 密码套件顺序”似乎不支持这一点。
在 Server 2008 R2 中，在密码套件的组策略中，它列出了支持的密码。显然它只支持 GCM 密码ECDHE_ECDSA，不支持ECDHE_RSA. 仅支持 CBC ECDHE_RSA。此外，没有列出对ECDHE_RSA与 RC4 组合的支持。
我错过了什么，还是有一个好的解决方法？我所能想到的就是通过一个支持我想要的加密的主机来代理它，但出于多种原因，这是不可取的。我被卡住了RSA-RC4-128-SHA吗？或者，如果我禁用 HTTP/TLS 压缩并受到性能影响，我可以TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA_P256安全地使用或类似的吗？
抱歉，如果这没有多大意义，我对这种事情还很陌生。