如何购买HTTPS证书并在IIS 7.5 Web服务器上完成部署配置

一、前期准备 #

• 确认对外访问的地址：SSL证书和访问地址绑定，如果你用域名对外提供服务，证书要绑定对应域名；如果直接用公网静态IP对外访问，需要选购支持IP绑定的SSL证书，注意绝大多数免费证书不支持IP绑定，采购前要确认规格
• 确认你持有Windows 7服务器的本地管理员权限，能正常登录操作IIS管理器

二、证书选购 #

按实际场景选择对应类型的证书即可：

• 按覆盖范围分
  • 单域名证书：仅支持1个域名，价格最低，适合单站点场景
  • 多域名证书：支持最多几十个不同域名绑定，适合多站点共用的场景
  • 泛域名证书：支持同一主域名下的所有二级子域名，适合有多个子站点的场景
• 按验证等级分
  • DV证书：仅验证域名所有权，颁发速度快，价格低，适合个人/小型站点
  • OV证书：需要验证企业主体身份，可信度更高，适合企业官方站点
  • EV证书：最高等级验证，浏览器地址栏会显示企业名称，可信度最高，价格最高
• 额外确认选购的证书兼容Windows/IIS环境即可，主流CA机构颁发的证书基本都满足要求

三、证书申请与身份验证 #

3.1 生成CSR文件（证书签名请求） #

这一步在你的Windows 7服务器上本地操作：

1. 打开IIS管理器，在左侧连接栏点击你的服务器名称，中间功能视图找到【服务器证书】双击打开
2. 右侧操作栏点击【创建证书请求】
3. 在弹出的向导中依次填写信息：通用名称必须和你对外访问的域名/公网IP完全一致，其他按实际情况填写组织、城市、省份、国家信息即可
4. 加密服务提供程序默认选RSA，位长选至少2048位，4096位安全性更高但兼容性稍差，可按需选择
5. 选择本地路径保存生成的.txt格式CSR文件，文件内容不要自行修改

3.2 提交申请完成验证 #

• 将上一步生成的CSR文件内容完整复制，提交给你购买证书的CA机构
• 按CA要求完成所有权验证，常见验证方式3种：
  • DNS验证：在你的域名解析商处添加CA指定的TXT解析记录，生效后即验证通过
  • 文件验证：将CA指定的验证文件上传到Web服务器根目录，公网可正常访问即验证通过
  • 邮件验证：向域名WHOIS信息中登记的管理员邮箱发送验证邮件，点击链接即可完成验证
• 验证通过后CA会颁发证书文件，一般会直接提供适用于IIS的.pfx格式证书，也可能附带.cer、.p7b格式的证书链文件

四、IIS 7.5部署证书 #

4.1 导入证书到服务器 #

1. 回到IIS管理器的【服务器证书】页面，右侧操作栏点击【完成证书请求】
2. 选择CA颁发的证书文件，输入申请证书时设置的密码（如果未设置可留空），给证书设置一个方便识别的名称，存储位置选【个人】
3. 确认后即可在服务器证书列表中看到刚导入的证书

4.2 站点绑定HTTPS #

1. 在IIS管理器左侧连接栏找到要启用HTTPS的站点，右键点击选择【编辑绑定】
2. 在弹出的窗口点击【添加】，类型选择https，IP地址选服务器对应的内网IP，端口默认用443（如果NAT转发用了自定义HTTPS端口就对应修改），SSL证书下拉选择刚导入的证书
3. 如果需要强制所有HTTP访问跳转到HTTPS，可以额外配置IIS的URL重写规则，无相关需求可跳过这步
4. 保存绑定配置，重启对应站点即可生效

4.3 更新NAT规则 #

确认你的公网NAT规则已经把443端口（或你自定义的HTTPS端口）的访问请求转发到Web服务器对应的内网端口，配置逻辑和之前80端口的转发规则一致即可

五、效果验证 #

• 用公网环境访问https://你的域名/公网IP，确认页面正常打开，浏览器地址栏没有安全告警
• 点击浏览器地址栏的锁形图标，可以查看证书有效信息，确认部署正确

内容的提问来源于stack exchange，提问作者user16049828