Azure CDN / Azure Front Door における TLS バージョン制御について

Venkatesan S さんのコメントにも書かれていますが、TLS の「最小バージョン」の指定とは、それ未満のバージョンでのネゴシエーションを行わないという意味であって、そのバージョンを利用するという指定ではありません。

TLS はその仕様上、クライアントとサーバーが共通して利用できる最も高いバージョンでネゴシエーションします。そのため「最低バージョン」が　1.2 に指定されていても、サーバー/クライアント共に 1.3 が利用可能であれば、実際のネゴシエーションは 1.3 で行われます。

Azure Front Door は TLS 1.3 をサポートしているので、クライアントが TLS 1.3 をサポートしていれば（モダン ブラウザーはすべてサポートしています） TLS 1.3 で通信が行われるのが期待される正しい動作となります。

サーバー Front Door 側の設定は変えられないので、

実際に使用される TLS バージョンを利用者側で制御する

には、クライアントで利用可能な TLS バージョンを制限することが必要です。

こんにちは Kota Uchiyama

このコンテンツは英語から日本語に翻訳されています。文法上の誤りがある場合はご容赦ください。

Microsoft Q&A フォーラムに質問を投稿していただきありがとうございます。

このような設定状況において、 実際に使用される TLS バージョンを利用者側で制御することは可能でしょうか。

Azure Front Door Standard は、クライアントが TLS 1.3 をサポートしている場合、最小 TLS が 1.2 に設定されている場合でも、既定で TLS 1.3 を使用します。これは想定されるネゴシエーション動作であり、構成ミスではありません。ユーザーは最小バージョンを制御できます（1.0/1.1 などの古いバージョンを拒否します）。ただし、1.2 を強制したり、1.3 を無効にしたりすることはできません。ハンドシェイクでは常に互換性のある最新バージョンが優先されます。

TLSネゴシエーションの基本回答:

最小TLS設定は下限値として機能し、それ以下の接続は失敗しますが、両者が合意すれば上位バージョン（1.3）が使用されます。 ログでTLS 1.3が表示されるのは、Front Doorが最初に1.3を試す仕様によるものです。

追加の実践ポイント:

• クライアントの影響: Chrome 70+やFirefoxなどのモダンクライアントはTLS 1.3を最初に提案するため、そこに落ち着きます。
• CDN classic vs Front Door: classicは最大1.2止まり、Front Door移行で1.3が有効化され変更が発生。
• 正確なバージョン制御不可: 「最大TLS」や「1.3無効」オプションは存在しません
• curlで検証: curl -v --tlsv1.2 https://yourdomainで1.2強制、デフォルトで1.3優先を確認。

公式ドキュメント:

• Azure Front Door TLS ポリシー | Microsoft Learn
• TLS 暗号化 - Azure Front Door | Microsoft Learn

上記の内容がお役に立ったか、あるいはこの問題に関してさらにサポートが必要かどうか、お知らせください。

提供された情報が役に立った場合は必ず「回答を承認」して「賛成投票」してください。これは他のコミュニティ メンバーにとっても有益です。