主页 / server / 问题 / 1083421
Accepted
Jonathan Wood
Asked: 2021-11-13 11:30:41 +0800 CST

SSL 证书显然混淆了不同的网站

  • 772

我的 VPS 包含十几个网站，其中包括以下几个 SSL 证书。

  • *.railtrax.com
  • *.insiderarticles.com

目前，所有 * .railtrax.com网站都运行良好。但是 * .insiderarticles.com网站（我只有一个）在浏览器中给了我一个错误（注意最后一段）。

您的连接不是私密的

攻击者可能试图从 insiderarticles.com 窃取您的信息（例如，密码、消息或信用卡）。

NET::ERR_CERT_COMMON_NAME_INVALID

该服务器无法证明它是 insiderarticles.com；它的安全证书来自 *.railtrax.com。这可能是由于配置错误或攻击者拦截了您的连接造成的。

如您所见，insiderarticles.com的证书表明它是发给 * .railtrax.com 的。

Insiderarticles.com 证书

Insiderarticles.com 证书

但我选择了正确的证书。

Insiderarticles.com 编辑绑定对话框

Insiderarticles.com 编辑绑定对话框

如果我使用 Jexus 运行绑定诊断，我会收到以下错误：

BINDING: http 74.208.136.116:80:insiderarticles.com
Found a conflicting TCP reserved port range. Please run "netsh int ipv4 show excludedportrange protocol=tcp" at command prompt to troubleshoot.

BINDING: http 74.208.136.116:80:www.insiderarticles.com
Found a conflicting TCP reserved port range. Please run "netsh int ipv4 show excludedportrange protocol=tcp" at command prompt to troubleshoot.

BINDING: https 74.208.136.116:443:insiderarticles.com
Found a conflicting TCP reserved port range. Please run "netsh int ipv4 show excludedportrange protocol=tcp" at command prompt to troubleshoot.

BINDING: https 74.208.136.116:443:www.insiderarticles.com
Found a conflicting TCP reserved port range. Please run "netsh int ipv4 show excludedportrange protocol=tcp" at command prompt to troubleshoot.

如果我运行建议的命令，我会得到以下信息。

在此处输入图像描述

但这对我没有帮助。

有关证书的所有其他内容似乎都是有效的。我为 * .insiderarticles.com安装了证书，它运行良好。在我为 *.railtrax.com 安装证书后，这很可能是 insiderarticles.com 停止工作的时候。

这可能与需要服务器名称指示复选框有关吗？对于insiderarticles.com ，此复选框已选中，对于所有 * .railtrax.com网站均未选中。我尝试为所有 * .railtrax.com网站检查此选项，但似乎没有任何区别。

任何人都可以推荐后续步骤来解决此问题吗？

iis ssl windows-server-2012-r2 iis-8

3 个回答

  1. Best Answer

    最初，您只能对一个 IP 使用一个证书：端口对是 IIS。这是因为当 IIS 选择要使用的证书时，在 SSL 握手期间主机标头不可见。

    为了解决这个限制，引入了SNI。它在 IIS 8 及更高版本中可用，并受到现代浏览器的支持（此处为列表）。您应该为所有网站启用 SNI，但您可能希望为不支持 SNI 的旧版浏览器使用的网站关闭它。那些旧版浏览器仍会出现 SSL 证书名称不匹配错误。

    因此，您的选择是以下之一：

    • 如果旧版浏览器支持不重要，请为所有网站启用 SNI，除了您选择作为旧版浏览器默认设置的网站
    • 再向您的服务器添加一个公共 IP 地址。将每个证书绑定到不同的 IP:port 对
    • 购买一个可以涵盖两个通配符域的证书。它被称为多域通配符 SSL 证书或 SAN 证书
    • 1

  2. 我现在认为需要服务器名称指示是问题所在。

    我表示我尝试为我的所有railtrax.com网站检查此选项，这没有任何区别。今天再看一遍，好像漏了一个。在检查了那个之后，它现在似乎正在工作。

    可能还有其他东西在这里起作用。但到目前为止，这似乎是答案。我有点惊讶这里有更多的人似乎对此并不熟悉。

    • 1

  3. 我遇到过同样的问题。但在我的情况下，其中一个站点只绑定到端口 80。我必须添加一个 HTTPS 绑定，然后选择 SNI。

    • 0

相关问题