ssl - IIS 7 非 SSL 站点加载另一个站点的证书

Question

我有一个 IIS 7 服务器托管几个不同的站点。最近我购买了一个 SSL 证书并将其安装到其中一个站点。 http 和 https 绑定(bind)都使用主机 header xxx.com 和 www.xxx.com 进行设置。

但现在我发现其他没有 SSL 的站点正在加载证书并在通过 https 访问时显示不受信任的证书错误。

我能知道如何阻止其他非 SSL 站点加载证书吗？谢谢。

Answer 1

我认为

• 您正在使用单个 IP 地址上的服务器
• 为这个单一 IP 地址上的多个名称提供服务
• 已经为一些名称配置了 SSL，但没有为其他名称配置 SSL

这意味着，那

• 服务器正在监听此特定 IP 地址以进行 SSL 连接。
• 服务器只能在收到来自客户端 (ClientHello) 的初始 SSL 请求后决定它应该使用哪个证书。客户端散列使用 SNI(服务器名称指示)来告诉服务器它期望哪个主机名。大多数较新的客户端都支持此功能，但例如 IE8/XP 则不支持。

由于服务器必须监听此 IP 地址上的 SSL 连接，因此它可能会收到一个主机名的 SSL 请求，但它没有配置证书。在这种情况下，服务器可以执行以下操作:

• 使用它配置的其他证书。这就是您的服务器正在做的事情。这会导致客户端出现关于证书无效的错误，因为证书中的名称与预期名称不匹配。
• 只需关闭连接或发出一些 SSL 错误。这将导致客户端出现 SSL 握手错误，浏览器通常以某种方式显示该错误，最终用户无法理解发生了什么。对于浏览器，这种情况只是服务器错误，服务器无法为浏览器提供更详细的信息(这不是 SSL 协议(protocol)的一部分)。

如果您不喜欢这两个问题中的任何一个，您必须使用与 SSL 主机不同的 IP 地址为非 SSL 主机提供服务，这样服务器甚至不会在 SSL 端口上监听非 SSL 主机的连接SSL 主机。

我希望这个解释对您的问题有所帮助。如果您现在对服务器配置有具体问题以实现概述的解决方案，您应该在 serverfault.com 上询问他们。