在 IIS 上向客户端提供 Let's Encrypt 证书链

Question

致关闭投票此帖子的人：如果您不评论原因，这将无济于事。我们都在努力学习。

我想使用 Let's Encrypt 为我的 2 个域获得通配符证书。这是我所做的：

在 Chrome 中一切正常。在 Firefox 中，我收到以下错误：

所以我在这里测试了：https://www.ssllabs.com/ssltest/analyze.html?d=gamegorilla.net

我还检查了this other post。

有关于确保“服务器向客户端提供证书链，仅域证书”的讨论。我发现验证证书链here。

然后我采取这些步骤找到here：

1. 打开证书 Microsoft 管理控制台 (MMC) 管理单元。
2. 在“文件”菜单上，单击“添加/删除管理单元”。
3. 在“添加或删除管理单元”对话框中，单击“可用管理单元”列表中的“证书”管理单元，单击“添加”，然后 然后单击确定。
4. 在“证书管理单元”对话框中，单击“计算机帐户”，然后单击“下一步”。
5. 在“选择计算机”对话框中，单击“完成”。

我已经在中间证书颁发机构中看到“让我们加密颁发机构 X3”。所以我想这应该已经正确处理了。

如何确保将 Let's Encrypt 证书链提供给客户端，使其在 Firefox 中也能正常工作？

更新 1

根据@rfkortekaas 的建议，我使用“所有绑定标识符”而不是提供搜索模式。当 Win-acme 询问 Please pick the main host, which will be presented as the subject of the certificate 时，我选择了 gamegorilla.net。在这个 gamegorilla.net 现在可以在 Firefox 中运行之后，但是，在 www.karo-elektrogroothandel.nl 上，我现在得到了一个不安全的证书。

更新 2

好吧，这似乎解决了它。我确实看到 smtp/mail（例如 smtp.gamegorilla.net）的绑定现在也自动添加到 IIS： 我应该留下这些还是删除那些邮件+smtp记录？

此外，证书现在是 [Manual]，这是否意味着我需要手动更新（这很奇怪，因为在证书创建步骤中我没有看到自动更新的选项）：

Answer 1

问题是，如果您选择所有绑定标识符而不是提供我认为应该可以工作的搜索模式，那么您只会为 www.gamegorilla.net 而不是 gamegorilla.net 生成证书。

若要获取非 IIS 托管的其他名称的证书，您不能使用从 IIS 导入功能。您需要全部提供它们，从通用名称开始。

启动wacs 后，选择M 获取新请求并选择选项2 进行手动输入。之后，首先输入带有通用名称的逗号分隔列表：gamegorilla.net,www.gamegorilla.net,smtp.gamegorilla.net,karo-elektrogroothandel.nl,www.karo-elektrogroothandel.nl,smtpkaro-elektrogroothandel.nl（不带任何空格）。或者，当您想生成通配符证书时，您可以使用：gamegorilla.net,*.gamegorilla.net,karo-elektrogroothandel.nl,*.karo-elektrogroothandel.nl。

请注意，要生成通配符证书，您需要能够使用DNS-01 质询。 HTTP-01 挑战不支持通配符证书。

对于证书续订，您应该不时运行wacs --renew（例如通过计划任务）。