IIS 8.5，中央證書存儲區，通配符SSL和沒有主機名的網站

我在使用帶有通配符證書的IIS8中央證書存儲區時遇到問題。我有一個配置爲使用CCS的Web服務器場。我有一張通配符證書「* .delaneywilson.com」。我爲通配證書創建了一個pfx文件，並將其命名爲「_.delaneywilson.com」（根據Microsoft和網上其他文章的指示），然後將其放入我的共享SSL目錄中。證書顯示在IIS中沒有問題。IIS 8.5，中央證書存儲區，通配符SSL和沒有主機名的網站

我爲www.delaneywilson.com和delaneywilson.com創建了綁定，都使用端口443，設置爲「所有未分配」，「需要服務器名稱標識」和「使用集中證書存儲區」。與www的綁定工作正常，但沒有主機名的綁定不起作用。

事實上，任何約束力的我，只要有一個主機名申請作品：

https://www.delaneywilson.com -> Works 
https://anything.delaneywilson.com -> Works 
https://something.delaneywilson.com -> Works 
https://delaneywilson.com -> Does not work

一切我讀過使我相信，通配符證書使用CCS在IIS8.x支持，但我不能讓「僅」域名工作。

它表示對於UCC證書，您實際上必須複製證書並將其放入共享目錄中，以便爲UCC證書所支持的每個域一次。我嘗試了一些與通配符證書類似的方法，但沒有奏效。事實上，證書在CCS清單中根本沒有出現。（這是預期的，因爲證書是* .dealneywilson.com而不是delaneywilson.com）。我可以通過強制從我的負載平衡中將重定向從delaneywilson.com重定向到www.delaneywilson.com來解決這個問題，但是我認爲如果它正常工作會更好。

現在我已經回到了在每臺服務器上安裝證書，然後配置綁定以使用SNI和本地證書存儲。這似乎沒有任何問題。對於一個由5臺服務器和少數幾個網站組成的小型服務器場來說，這不是什麼大問題，但是我需要將CCS用於承載6500個域的24個服務器網絡農場以及它的太多配置。

任何人都可以確認這是IIS 8.5 CCS中的錯誤嗎？

來源

2017-10-18 user2033791

我相信沒有主機綁定不工作，因爲IIS簡單沒有合適的價值，所以它可以找到相應的證書。所以它不是一個錯誤。 – Hames

如果我不使用中央證書存儲，通配符證書將起作用。所以這對我來說似乎是一個錯誤。 – user2033791

好了，看了[HTTP Over TLS]（http://www.ietf.org/rfc/rfc2818.txt）後，我認爲你是對的。這不是一個錯誤。事實證明，當我將證書上傳到服務器時，它可能是個bug :) – user2033791

[選項一]

購買的只是「delaneywilson.com」

[選擇二]

另一SSL證書中的SAN字段中添加DNS名稱「delaneywilson.com」「* .delaneywilson.com」證書

來源

2017-10-22 02:16:27 Hames

通配符證書應該適用於兩者。我不應該支付額外的證書。（還是）感謝你的建議。 – user2033791

[編輯 - 請參閱上面的註釋]]通配符證書應該適用於兩者。我不應該支付額外的證書。謝謝你的建議，但[刪除] – user2033791

通配符證書默認保護域並將其作爲SAN添加到證書中。因此，如果您將* .abc.com abc.com自動添加爲證書中的SAN，如果沒有添加，您可以聯繫您的CA並要求他們重新頒發證書，並將域名添加爲SAN。

是的，必須重新生成CSR以便重新發布。

來源

2017-10-24 08:30:09

有一定的CA，其中包括在主題備用名稱（SAN），當您購買的通配符證書

只要按照下面的步驟檢查delaneywilson.com是否被添加爲SAN

主域名（加www）

轉到IIS並雙擊delaneywilson的證書。COM >>點擊詳細信息標籤>>向下滾動一點並單擊主題備用名稱

我張貼的圖片，供大家參考

來源

2017-10-24 11:25:38 rodriguesf53

所以我檢查你suiggested，我看到： DNS名稱= * delaneywilson.com DNS名稱= delaneywilson.com 所以顯然這是一個錯誤？使用集中式證書時，這肯定不起作用。 – user2033791

如果你可以看到這個DNS名稱= *。delaneywilson.com DNS名稱= delaneywilson.com那麼應該沒有任何問題。無論如何，您嘗試從任何其他CA獲取試用通配符證書一個月，然後嘗試對其進行測試 – rodriguesf53

IIS 8.5，中央證書存儲區，通配符SSL和沒有主機名的網站

回答

相關問題