IIS 8.5，中央证书存储区，通配符SSL和没有主机名的网站

我在使用带有通配符证书的IIS8中央证书存储区时遇到问题。我有一个配置为使用CCS的Web服务器场。我有一张通配符证书“* .delaneywilson.com”。我为通配证书创建了一个pfx文件，并将其命名为“_.delaneywilson.com”（根据Microsoft和网上其他文章的指示），然后将其放入我的共享SSL目录中。证书显示在IIS中没有问题。IIS 8.5，中央证书存储区，通配符SSL和没有主机名的网站

我为www.delaneywilson.com和delaneywilson.com创建了绑定，都使用端口443，设置为“所有未分配”，“需要服务器名称标识”和“使用集中证书存储区”。与www的绑定工作正常，但没有主机名的绑定不起作用。

事实上，任何约束力的我，只要有一个主机名申请作品：

https://www.delaneywilson.com -> Works 
https://anything.delaneywilson.com -> Works 
https://something.delaneywilson.com -> Works 
https://delaneywilson.com -> Does not work

一切我读过使我相信，通配符证书使用CCS在IIS8.x支持，但我不能让“仅”域名工作。

它表示对于UCC证书，您实际上必须复制证书并将其放入共享目录中，以便为UCC证书所支持的每个域一次。我尝试了一些与通配符证书类似的方法，但没有奏效。事实上，证书在CCS清单中根本没有出现。（这是预期的，因为证书是* .dealneywilson.com而不是delaneywilson.com）。我可以通过强制从我的负载平衡中将重定向从delaneywilson.com重定向到www.delaneywilson.com来解决这个问题，但是我认为如果它正常工作会更好。

现在我已经回到了在每台服务器上安装证书，然后配置绑定以使用SNI和本地证书存储。这似乎没有任何问题。对于一个由5台服务器和少数几个网站组成的小型服务器场来说，这不是什么大问题，但是我需要将CCS用于承载6500个域的24个服务器网络农场以及它的太多配置。

任何人都可以确认这是IIS 8.5 CCS中的错误吗？

来源

2017-10-18 user2033791

我相信没有主机绑定不工作，因为IIS简单没有合适的价值，所以它可以找到相应的证书。所以它不是一个错误。 – Hames

如果我不使用中央证书存储，通配符证书将起作用。所以这对我来说似乎是一个错误。 – user2033791

好了，看了[HTTP Over TLS]（http://www.ietf.org/rfc/rfc2818.txt）后，我认为你是对的。这不是一个错误。事实证明，当我将证书上传到服务器时，它可能是个bug :) – user2033791

[选项一]

购买的只是 “delaneywilson.com”

[选择二]

另一SSL证书中的SAN字段中添加DNS名称 “delaneywilson.com” “* .delaneywilson.com”证书

来源

2017-10-22 02:16:27 Hames

通配符证书应该适用于两者。我不应该支付额外的证书。（还是）感谢你的建议。 – user2033791

[编辑 - 请参阅上面的注释]]通配符证书应该适用于两者。我不应该支付额外的证书。谢谢你的建议，但[删除] – user2033791

通配符证书默认保护域并将其作为SAN添加到证书中。因此，如果您将* .abc.com abc.com自动添加为证书中的SAN，如果没有添加，您可以联系您的CA并要求他们重新颁发证书，并将域名添加为SAN。

是的，必须重新生成CSR以便重新发布。

来源

2017-10-24 08:30:09

有一定的CA，其中包括在主题备用名称（SAN），当您购买的通配符证书

只要按照下面的步骤检查delaneywilson.com是否被添加为SAN

主域名（加www）

转到IIS并双击delaneywilson的证书。COM >>点击详细信息标签>>向下滚动一点并单击主题备用名称

我张贴的图片，供大家参考

来源

2017-10-24 11:25:38 rodriguesf53

所以我检查你suiggested，我看到： DNS名称= * delaneywilson.com DNS名称= delaneywilson.com 所以显然这是一个错误？使用集中式证书时，这肯定不起作用。 – user2033791

如果你可以看到这个DNS名称= *。delaneywilson.com DNS名称= delaneywilson.com那么应该没有任何问题。无论如何，您尝试从任何其他CA获取试用通配符证书一个月，然后尝试对其进行测试 – rodriguesf53

IIS 8.5，中央证书存储区，通配符SSL和没有主机名的网站

回答

相关问题