同一IP不同端口部署多站点，是否需启用SNI？

场景说明 #

• 服务器环境：Windows Server 2019 + IIS 10，采用TLS 1.2协议
• 托管站点：当前2个完整网站（未来至少新增5个），每个网站包含Angular前端和.NET 7数据API，所有站点指向同一IP（1.22.33.44）但端口不同：
  • www.example1.com → https://1.22.33.44:44374
  • www.example1DataAPI.com → https://1.22.33.44:44375
  • www.example2.com → https://1.22.33.44:44376
  • www.example2DataAPI.com → https://1.22.33.44:44377
• 证书情况：每个站点配备独立SSL证书，每个完整网站需2张证书
• 核心疑问：IIS站点绑定界面中「Require Server Name Indication（要求服务器名称指示）」选项的勾选规则

问题解答 #

1. 示例中所有站点是否应勾选/取消勾选该选项？ #

取消勾选即可。因为你的每个站点都使用独立端口，IP+端口的组合是唯一的，IIS可以直接通过端口区分不同站点，完全不需要依赖SNI来识别主机名。即使不勾选SNI，客户端访问时也能正确匹配到对应站点的证书和服务。

2. 何种场景下必须勾选该选项？ #

必须启用SNI的核心场景是：多个站点共享同一IP和同一端口（最常见的是默认HTTPS端口443），且每个站点拥有对应不同主机名的独立SSL证书。

具体包含：

• 多个不同域名的站点部署在同一IP的443端口下，每个域名有专属的SSL证书
• 同一IP+端口下，需要为不同子域名或独立域名提供HTTPS服务，且没有使用通配符证书或多域名证书覆盖所有站点

3. 有资料称同一IP和端口部署2个站点时需启用SNI，此说法是否正确？ #

这个说法不完全准确，要分情况判断：

• 如果两个站点使用对应不同主机名的独立SSL证书，那么必须启用SNI——否则IIS无法判断应该返回哪个证书给客户端，会出现证书不匹配、站点无法正常访问的问题。
• 如果两个站点使用通配符证书（覆盖所有相关域名）或包含两个主机名的多域名证书，那么即使共享IP+端口，也不需要启用SNI，因为证书可以同时匹配两个站点的主机名，IIS无需通过SNI识别主机名就能返回正确证书。

内容的提问来源于stack exchange，提问作者FranciscoFJM