使用APPCMD配置IIS集中式SSL证书存储绑定后HTTPS连接重置问题排查

我之前碰到过完全一致的问题，尤其是在使用集中式SSL证书存储（SSL Flag 3）的场景下，用appcmd添加绑定后经常出现HTTP.sys没有正确加载配置的情况。当你在IIS管理器的绑定对话框里点击“确定”（哪怕没改任何设置），它其实在后台做了几个关键操作，而这些操作是单纯用appcmd或者iisreset无法触发的：

1. 强制同步配置到HTTP.sys的运行时缓存 #

appcmd修改applicationHost.config后，虽然配置文件本身是正确的，但HTTP.sys（负责处理Windows下HTTP/HTTPS请求的核心组件）可能没有主动刷新它的绑定缓存——尤其是当使用SSL Flag 3时，涉及到集中式证书存储的关联，需要额外的信号来让HTTP.sys识别新绑定对应的证书路径和权限。

IIS管理器的绑定对话框在确认时，会通过内部API直接通知HTTP.sys重新读取绑定的SSL配置，包括验证集中式证书存储中是否存在对应域名的证书，并建立绑定与证书的关联。这个过程不会修改applicationHost.config，但会更新HTTP.sys的运行时状态。

2. 触发WAS的配置校验与同步 #

Windows Process Activation Service (WAS) 负责管理IIS的应用池和站点配置。虽然iisreset会重启W3SVC和WAS，但它是一个粗暴的重启操作，有时候会跳过一些精细化的配置校验步骤。

IIS管理器的操作会触发WAS对站点绑定的增量校验：它会检查绑定的每个参数（包括SSL Flag、绑定信息）是否与HTTP.sys的当前状态匹配，如果发现不匹配，就会强制推送更新到HTTP.sys，而不是简单重启服务。

3. 修复SSL绑定的注册状态 #

当使用SSL Flag 3时，IIS需要确保HTTP.sys中已经正确注册了绑定与集中式证书存储的关联。appcmd set site命令只是修改了站点的配置，但可能没有完成HTTP.sys层面的SSL绑定注册。

IIS管理器在确认时，会隐式执行类似netsh http add sslcert的底层操作（但针对集中式存储做了适配），确保绑定的SSL参数被正确注册到HTTP.sys。你可以用netsh http show sslcert命令对比操作前后的输出，会发现操作后对应的443端口绑定的SSL信息会被正确更新。

手动模拟这个操作的办法 #

如果你想在脚本中替代IIS管理器的手动操作，可以尝试以下步骤：

• 执行完appcmd set site命令后，运行appcmd reset config "sitename" /section:bindings来强制刷新绑定配置
• 或者用PowerShell调用Microsoft.Web.Administration.ServerManager类来加载并重新保存站点配置，这会触发与IIS管理器相同的同步逻辑：

$sm = New-Object Microsoft.Web.Administration.ServerManager
$site = $sm.Sites["sitename"]
$sm.CommitChanges()

这个方法不需要重启服务，就能完成配置同步，解决连接重置的问题。

内容的提问来源于stack exchange，提问作者Hugo Delsing