IIS 7 将 SSL 添加到一个站点，所有其他站点都响应 https 请求答案

【问题标题】：IIS 7 adding SSL to one site, all other sites responds to https requestIIS 7 将 SSL 添加到一个站点，所有其他站点都响应 https 请求
【发布时间】：2013-04-23 00:19:54
【问题描述】：

我的 IIS 上运行了多个站点，现在对于其中一个网站 (SiteB)，我们需要支持 ssl 请求。我已启用它为网站编辑绑定，但问题是当我选择协议 SSL 编辑绑定 HostName 字段被禁用时，无法设置主机名以响应 https 请求，这会导致我的 IIS 的所有站点都使用 https 请求:// 加载 siteB 的网站。

例如我的投标是下一个

Site A

 IP  Port HostName
 *     80 www.sitea.com

Site B
 IP Port Hostname
 *   443 www.siteb.com
 *    80 www.siteb.com

如果我在浏览器中输入https://www.siteb.com，它可以正常工作，但如果我在浏览器中输入https://www.sitea.com，siteb 网页会加载sitea 的主机名。

我怎样才能使只有https://www.siteb.com 响应我的 IIS 上的 https 请求？

我也尝试过使用命令 appcmd，但它不起作用。

appcmd set site /site.name:{sitB} /bindings.[protocol='https',bindingInformation='*:443:*'].bindingInformation:*:443:siteB.com

感谢您的帮助。

【问题讨论】：

我也有同样的问题。我将开始赏金。
您建立了证书吗？ CN 是什么？
是否所有其他网站都托管为“虚拟目录”或“应用程序”或“网站”？似乎您将设置应用于网站，并且网站中托管了多个虚拟目录/应用程序。

标签： iis-7

【解决方案1】：

根本问题
这种意外行为与其说是因为 IIS，不如说是因为 Web 加密协议。

两种主要的网络加密协议是 SSL 和 TLS。在将任何请求信息传递给服务器之前，这两种协议都会协商安全连接。这意味着，在安全请求中，服务器直到建立安全连接后才真正了解主机名。

已创建 TLS 和 SSL 扩展来解决此限制。它称为SNI（服务器名称标识）。问题是服务器和客户端机器都需要支持这个扩展。目前，客户端浏览器支持有些参差不齐。有关浏览器列表，请参阅 SNI 文章。

IIS 对问题的处理
由于上面提到的主机名限制，IIS 不允许您将主机名绑定到 HTTPS 绑定。 IIS 无法将 HTTPS 请求路由到特定主机名，因为它在首次开始协商连接时不知道请求的主机名。

一旦 IIS 与客户端协商安全连接并获悉他们请求的主机名是针对具有 HTTPS 绑定的站点以外的站点（例如对https://sitea.com 的请求），IIS 可以返回失败代码或尝试优雅地失败。 IIS 选择后者并尝试通过使用 HTTPS 绑定为站点提供服务来优雅地失败，即使用户正在请求不同的站点。

解决方案/解决方法

创建一个重写规则，将非安全网站的所有 HTTPS 请求重定向到 HTTP。
升级到 IIS 8 以使用 SNI 扩展。然后要求访问者升级到支持 SNI 的浏览器。
让您的安全站点在收到对其他域的请求时返回错误消息。
通过 IP 地址而不是主机名绑定，因为 IIS 可以通过 IP 地址路由 HTTPS 请求

参考文献
我的大部分信息来自Wikipedia article on SNI

【讨论】：

用 IIS 8 进行实验，看起来你可以在没有 SNI 的情况下处理这种情况。 SNI 只需要选择与请求的域对应的证书。 IIS 8 之后似乎能够选择网站。通过在 https 绑定上指定域 sitea 进行测试，服务器上没有其他 https 绑定，通过 xp IE8 访问（在这种情况下没有 SNI）：sitea 上的 https => 成功，服务器服务的其他域上的 https => 证书不匹配然后 IIS 404没有匹配的绑定。但是 IIS7 不可行，它不允许将 https 绑定限制到域。

【解决方案2】：

我们使用多个需要 SSL 的站点运行网络服务器，这没有问题。

如果我正确理解了您的问题 - 您需要设置绑定而不是主机名 - 这将不起作用。因此，对于我们托管的每个启用 SSL 的站点，我们都需要一个不同的外部 IP 地址。然后，在 IIS 中设置站点时输入该 IP 地址作为绑定。

【讨论】：