另一个站点的 IIS 7 非 SSL 站点加载证书

Question

我有一个 IIS 7 服务器托管几个不同的站点。最近我购买了一个 SSL 证书并将其安装到其中一个站点。 http 和 https 绑定都设置了主机头 xxx.com 和 www.xxx.com。

但现在我发现其他没有 SSL 的站点正在加载证书，并在通过 https 访问时显示不受信任的证书错误。

我可以知道如何阻止其他非 SSL 站点加载证书吗？ 谢谢。

Answer 1

我认为

• 您在单个 IP 地址上使用服务器
• 为单个 IP 地址上的多个名称提供服务
• 已为某些名称配置 SSL，但未为其他名称配置 SSL

这意味着，

• 服务器正在侦听此特定 IP 地址以进行 SSL 连接。
• 服务器只能在收到来自客户端的初始 SSL 请求 (ClientHello) 后才能决定它应该使用哪个证书。客户端哈希使用 SNI（服务器名称指示）告诉服务器它期望的主机名。大多数较新的客户端都支持这一点，但例如 IE8/XP 不支持。

由于服务器必须侦听此 IP 地址上的 SSL 连接，它可能会收到一个主机名的 SSL 请求，但它没有配置证书。在这种情况下，服务器可以执行以下操作：

• 使用它配置的其他证书。这就是您的服务器正在做的事情。这会导致客户端出现关于证书无效的错误，因为证书中的名称与预期的名称不匹配。
• 只需关闭连接或发出一些 SSL 错误。这将导致客户端上出现 SSL 握手错误，浏览器通常会以某种方式显示最终用户无法理解正在发生的事情。对于浏览器，这种情况只是服务器错误，服务器无法为浏览器提供更详细的信息（这不是 SSL 协议的一部分）。

如果您不喜欢这两个问题中的任何一个，您必须从与 SSL 主机不同的 IP 地址为非 SSL 主机提供服务，这样服务器甚至不会在 SSL 端口上侦听非 SSL 主机的连接。 SSL 主机。

我希望这个解释对您的问题有所帮助。如果您现在有关于服务器配置以实现概述的解决方案的具体问题，您应该在 serverfault.com 上询问他们。