Назад | Перейти на главную страницу

IIS 8 - SSL по умолчанию нарушает SNI

У нас есть следующий сценарий тестирования SNI на Windows Server 2012 R2 с IIS 8. Перечисленные ниже доменные имена и IP-адреса являются поддельными и предназначены только для примера..

WEB SITE NAME      IP ADDRESS     Host Name/Header (SNI)   Certificate Domain
==============================================================================
x.domain.com       10.10.0.1      x.domain.com             x.domain.com
y.domain.com       10.10.0.1      y.domain.com             y.domain.com

Когда только «x.domain.com» и «y.domain.com» настроены с использованием SNI с их собственными сертификатами на одном IP-адресе, оба сайта работают нормально во всех браузерах, но когда вы выбираете любой из сайтов, IIS показывает отображает сообщение о том, что "SSL-сайт по умолчанию не был создан. Для поддержки браузеров без возможностей SNI рекомендуется создать SSL-сайт по умолчанию".

Если я создаю сайт SSL по умолчанию (сайт на том же IP-адресе с использованием HTTPS, но без имени хоста / SNI), он нарушает сертификаты на других сайтах SNI на том же IP-адресе. Если я добавлю сайт SSL по умолчанию, как показано ниже

WEB SITE NAME      IP ADDRESS     Host Name/Header (SNI)   Certificate Domain
==============================================================================
somedomain.com     10.10.0.1      NULL                     somedomain.com

Как только он существует (не имеет значения, какой сертификат я использую), другие домены SNI на этом IP-адресе генерируют ошибку сертификата, поскольку IIS, по-видимому, передает пользователям сертификат для сайта SSL по умолчанию вместо сертификата, указанного для сайта в IIS.

Может ли кто-нибудь пролить свет на то, как правильно настроить сайт SSL по умолчанию в IIS?

Я думаю, что если вы измените IP-адрес для привязки somedomain.com на «All unassigned», а не на 10.10.0.1, он перестанет мешать вашим сайтам SNI [что удивительно].