IIS SSL绑定更换过期证书后部分用户访问被拒绝问题咨询

以下是按出现概率从高到低排序的可能原因：

• SSL客户端证书协商配置被误改/多节点配置不一致
  更换证书操作过程中如果误修改了站点SSL设置里的客户端证书策略，从默认的「忽略」切到了「接受/必需」，IIS会在TLS握手阶段主动向客户端请求客户端证书。如果你的服务是多台IIS做负载均衡，大概率是只更新了部分节点的证书和配置，剩下节点还保留着要求客户端证书校验的规则，用户流量打到不同节点就会出现完全不同的访问表现。
  出现「部分用户正常、部分用户报错」的核心原因是不同客户端的TLS会话缓存策略不同：本地还留存旧配置下有效TLS会话缓存的用户，会直接复用连接访问静态内容；没有有效缓存的用户重新握手时就会收到证书选择弹窗，选完证书后因为站点没配置对应客户端证书的访问映射规则，直接返回access denied。之前重启IIS后单个用户恢复，本质是该用户的请求刚好打到了配置正确的节点，或是对应会话缓存刚好失效。
• SNI/端口绑定存在冲突
  如果绑定证书时开启了SNI（服务器名称指示），但同IP、同端口下存在其他开启了「强制客户端证书校验」的站点绑定，或是旧过期证书的绑定信息没从IIS和HTTP.sys层清理干净，IIS路由请求时可能匹配错站点规则。部分用户因为本地DNS缓存、浏览器TLS实现差异，请求携带的SNI字段没匹配到目标站点的正确绑定，就会被导到要求客户端证书的规则下，触发弹窗后被拒绝访问。
• 配置未完全同步到HTTP.sys内核层
  IIS的SSL配置是由内核层的HTTP.sys组件优先处理的，如果换完证书只在IIS管理器里更新了绑定，没执行完整的iisreset或是没重启HTTP服务，HTTP.sys里可能还残留着旧的SSL配置规则。内核模式缓存会根据请求特征哈希命中不同规则，部分用户的请求命中新的正常配置就能访问，部分命中内核里残留的旧异常规则就会触发证书校验、返回拒绝响应。
• 客户端本地SSL状态缓存残留
  受影响用户的本地系统留存了旧证书对应的TLS会话票证、SSL状态缓存，握手时发起旧会话恢复请求，新证书下的会话恢复逻辑异常会错误触发客户端证书校验流程。之前重启IIS后恢复的用户，刚好是本地缓存过期、或是服务端重启后对应旧会话票证失效，重新走了完整握手流程；其余未恢复用户的本地缓存未清理，甚至本地系统证书库中留存了和旧证书绑定的无效客户端证书关联关系，提交证书后不符合当前服务端的信任规则就会被拒绝。

内容的提问来源于stack exchange，提问作者gopalm