同一服务器如何实现IIS与Tomcat共用443端口部署不同应用

同服务器单IP下共用443端口承载多个HTTPS服务的核心逻辑是：用唯一前置服务监听443端口，基于HTTPS的SNI（服务器名称指示）能力识别请求对应的域名，再把请求分发给后端对应业务服务。基于当前环境，优先选择IIS作为前置网关，不需要额外部署第三方服务，配置成本最低。

前置要求：两个应用必须使用不同的二级域名（比如API用api.xxx.com，前端用web.xxx.com），同域名无法直接通过端口区分服务，需要额外做路径分流。

配置步骤 #

• 第一步：调整Tomcat配置，释放443端口
  停止Tomcat服务，打开Tomcat安装目录下的conf/server.xml配置文件，找到原有HTTPS服务的Connector配置段，把port属性从443修改为本地未占用的高位端口（比如8443），同时给该Connector补充两个配置项，避免后续反向代理后应用生成带端口的错误链接：

  <Connector port="8443" protocol="org.apache.coyote.http11.Http11NioProtocol"
             maxThreads="150" SSLEnabled="true"
             scheme="https" proxyPort="443"
             ... 其余原有证书、加密配置保持不变 />
  

  保存配置后启动Tomcat，本地访问https://127.0.0.1:8443确认前端应用能正常打开即可，注意防火墙不要对外开放8443端口，所有外部请求统一走443入口。

• 第二步：为IIS安装反向代理依赖组件
  两个组件均为IIS官方原生组件：

  1. 安装URL Rewrite模块
  2. 安装Application Request Routing（简称ARR）模块
     安装完成后打开IIS管理器，选中服务器根节点，找到Application Request Routing Cache功能，点击右侧操作栏的Server Proxy Settings，勾选Enable proxy选项，其余配置保持默认，点击应用保存。

• 第三步：IIS站点与HTTPS绑定配置
  两个站点均绑定443端口，靠SNI区分域名：

  1. 配置.Net Web API站点：新建或选择已有的API站点，添加443端口HTTPS绑定，主机名填写API对应的域名，选中该域名匹配的SSL证书，勾选需要服务器名称指示(SNI)，站点物理路径指向API的部署目录，该站点请求由IIS直接处理，不需要转发。
  2. 配置Tomcat前端转发站点：新建一个空站点，物理路径可指向任意空文件夹，同样添加443端口HTTPS绑定，主机名填写前端应用对应的域名，选中前端域名匹配的SSL证书，勾选SNI。

• 第四步：配置Tomcat站点的转发规则
  选中刚才新建的Tomcat转发站点，打开URL Rewrite功能，新建入站规则：

  • 匹配URL规则：选择「通配符」模式，匹配内容填*
  • 操作类型选择「重写」，重写目标地址填https://127.0.0.1:8443/{R:0}
  • 勾选「停止处理后续规则」，保存规则
    两个站点重启后配置即可生效。

验证与常见问题 #

• 外部访问两个域名，确认https://你的API域名正常返回.Net接口响应，https://你的前端域名正常返回Tomcat部署的前端页面，两个地址均为默认443端口，无端口冲突。
• 如果遇到大文件上传失败，进入ARR的代理设置页，调整允许的最大请求体长度即可。
• 如果Tomcat应用内出现重定向地址带8443端口的问题，检查第一步中Tomcat Connector的proxyPort="443"和scheme="https"配置是否正确添加。

备选方案：如果不想用IIS做前置，也可以部署Nginx作为统一443端口入口，基于SNI配置分别转发请求到IIS（可改到本地8080等非443端口）和Tomcat，但该方案需要额外维护Nginx服务，资源占用更高。

内容的提问来源于stack exchange，提问作者Sagar Shirke