假設有這(zhè)樣(yàng)一個場景，們什我們有多個站點(例如site1.exa那拍mple.com，site2.example.com和site3.機就example.com)綁定到(dào)同一個IP：P錢綠ORT，并區分不同的主機頭。我們為每一個SSL站點申輛北請并安裝了證書。在浏覽網站時(shí)，用為飛戶仍看到(dào)證書不匹配的錯誤。

IIS

當一個https的請求到(dào)達II麗機S服務器時(shí)，https請求為加密狀态，需要拿到(dào)紅哥相應的服務器證書解密請求。由于每個站點對(duì)應的證書不同，事男服務器需要通過(guò)請求中不同的主機頭來判斷需要用哪個分白證書解密，然而主機頭作為請求的一部分也被(bèi)看和加密。最終IIS隻好(hǎo)使用第一個吧討綁定到(dào)該IP：PORT的站點城通證書解密請求，從而有可能(néng)家個造成(chéng)對(duì)于其他站點的請求失敗而報錯內刀。

解決方案

• 第一種(zhǒng)解決方案將(jiāng)每個https站鄉好點綁定到(dào)不同的端口。但窗議是這(zhè)樣(yàng)的話客戶端浏覽網頁時(shí)必須手多科動指定端口，例如 https：//site.doma話關in.com:444
• 第二種(zhǒng)解決方案是為每個站長計點分配一個獨立的ip，這(zhè)樣(yàng)沖突友兒就(jiù)解決了，甚至主機頭也不用添加了。
• 第三種(zhǒng)解決方案是使用通配證書。我們采用通配證書頒發(跳不fā)給.domain.com，對(duì)于我們的示例中，費街應該采用頒發(fā)給.marei得但.com的證書，這(zhè)樣(yàng問到)任何訪問該domain的請求均可以通過(guò)該國動證書解密，證書匹配錯誤也就(jiù)不複存在了。這從
• 第四種(zhǒng)解決方案是升級為IIS8，IIS8那知中添加的對(duì)于SNI(Server Nam師兒e Indication)的支持，服務器可以通請求中提行得取出相應的主機頭從而找到(dào)相應的證書。

SNI開(kāi)啟方式請參考http://www.iis.ne雨時t/learn/get-star日動ted/whats-new-in-iis-8/我音iis-80-server-name-in外鐘dication-sni-ssl-scalability