iis-7 - IIS 7 将 SSL 添加到一个站点，所有其他站点都响应 https 请求

Question

我的 IIS 上运行了多个站点，现在对于我们需要支持 ssl 请求的网站之一 (SiteB)。我已启用它为网站编辑绑定(bind)，但问题是当我选择协议(protocol) SSL 编辑绑定(bind) HostName 字段被禁用时，无法设置主机名以响应 https 请求，这会导致我的 IIS 的所有站点都使用 https 请求://加载 siteB 的网站。

例如，我的投标是下一个

Site A

 IP  Port HostName
 *     80 www.sitea.com

Site B
 IP Port Hostname
 *   443 www.siteb.com
 *    80 www.siteb.com

如果我输入 https://www.siteb.com在我的浏览器中它可以正常工作，但是如果我输入 https://www.sitea.com在浏览器中，siteb 网页加载了 sitea 的主机名。

我怎样才能只做 https://www.siteb.com响应我的 IIS 上的 https 请求？

我也尝试过使用命令 appcmd 但它不起作用。

appcmd set site /site.name:{sitB} /bindings.[protocol='https',bindingInformation='*:443:*'].bindingInformation:*:443:siteB.com 

谢谢你的帮助。

Answer 1

根本问题
这种意外行为与其说是因为 IIS，不如说是因为 Web 加密协议(protocol)。

两种主要的网络加密协议(protocol)是 SSL 和 TLS。在将任何请求信息传递给服务器之前，这两种协议(protocol)都会协商安全连接。这意味着，在安全请求上，服务器直到建立安全连接后才真正了解主机名。

已创建 TLS 和 SSL 扩展来解决此限制。它被称为 SNI (服务器名称标识)。问题是服务器和客户端机器都需要支持这个扩展。目前，客户端浏览器支持有些参差不齐。见SNI浏览器列表的文章。

IIS对问题的处理
由于上面提到的主机名限制，IIS 不允许您将主机名绑定(bind)到 HTTPS 绑定(bind)。 IIS 无法将 HTTPS 请求路由到特定主机名，因为它在第一次开始协商连接时不知道请求的主机名。

一旦 IIS 与客户端协商安全连接并获悉他们请求的主机名是针对具有 HTTPS 绑定(bind)的站点以外的站点(例如对 https://sitea.com 的请求)，IIS 可以返回失败代码或尝试正常失败。 IIS 选择后者并尝试通过为站点提供 HTTPS 绑定(bind)来优雅地失败，即使用户正在请求不同的站点。

解决方案/解决方法

创建一个重写规则，将非安全网站的所有 HTTPS 请求重定向到 HTTP。

升级到 IIS 8 以使用 SNI 扩展。然后要求访问者升级到支持 SNI 的浏览器。

让您的安全站点在收到对不同域的请求时返回错误消息。

通过 IP 地址而不是主机名绑定(bind)，因为 IIS 可以通过 IP 地址路由 HTTPS 请求

引用文献
我的大部分信息来自 Wikipedia article on SNI