IIS 7.5同一IP下同一网站绑定不同域名与SSL证书方案咨询

这个问题我之前帮不少用户处理过，IIS 7.5（Windows Server 2008 R2）默认确实存在这个限制——因为传统SSL握手流程里，服务器在知道请求的具体域名之前就要返回证书，所以同一个IP+443端口的绑定只能共用一个证书。不过不用拆分网站也不用改端口，有两种可行的解决方案：

方案一：启用Server Name Indication (SNI)（推荐） #

SNI是解决这个问题的核心技术，它允许服务器在SSL握手阶段获取客户端请求的域名，从而返回对应的证书。不过Windows Server 2008 R2默认不支持SNI，需要先做以下准备：

• 安装Windows更新补丁KB2493524：这个补丁专门为Windows Server 2008 R2添加了SNI支持，你可以通过Windows Update搜索安装，或者从微软官方下载中心获取安装包。
• 安装完成后重启服务器，确保补丁生效。

接下来在IIS里配置绑定：

1. 打开IIS管理器，找到你的目标网站，右键选择「编辑绑定」。
2. 点击「添加」，绑定类型选择HTTPS，IP地址选择你要使用的服务器IP（两个域名可以共用同一个IP），端口保持443，在「主机名」栏填入第一个域名。
3. 点击「SSL证书」旁的「选择」，选中对应这个域名的证书，然后勾选要求服务器名称指示选项（这个选项只有安装补丁后才会显示），点击确定。
4. 重复步骤2-3，添加第二个HTTPS绑定：主机名填入第二个域名，选择对应的另一个证书，同样勾选「要求服务器名称指示」。

这样配置完成后，两个域名的HTTPS绑定就会各自使用独立的证书，修改其中一个的证书也不会影响另一个。

注意：SNI需要客户端浏览器支持，现在主流浏览器（Chrome、Firefox、IE7及以上、Edge等）都完美支持，但如果你的用户群体里有大量仍在使用IE6的老旧客户端，可能会出现证书不匹配的问题，这种情况可以考虑方案二。

方案二：使用多IP地址绑定 #

如果无法安装补丁，或者需要兼容不支持SNI的老旧客户端，可以给服务器分配第二个独立的IP地址：

1. 在服务器的网络适配器设置里添加第二个IP地址。
2. 回到IIS管理器，给第一个域名的HTTPS绑定选择第一个IP地址，对应证书A；给第二个域名的HTTPS绑定选择第二个IP地址，对应证书B，端口都保持443。
3. 确保两个域名的DNS解析分别指向对应的IP地址。

这个方案不需要依赖SNI，但需要额外的IP资源，适合对老旧客户端兼容性要求高的场景。

内容的提问来源于stack exchange，提问作者Ajay Pattni