如何在IIS 8的单IP:PORT上为双域名配置对应SSL证书

我之前在维护多域名站点时碰到过完全一样的问题！你要实现的就是**Server Name Indication (SNI)**的典型场景——同一IP下多个HTTPS站点用各自的SSL证书，核心思路没错，但大概率是某个配置细节没踩对，下面我一步步给你捋清楚：

第一步：先确认Web服务器的SNI支持能力 #

如果是用IIS的话，必须是IIS 8.0及以上版本（对应Windows Server 2012或Windows 8及以上系统），旧版本IIS（比如7.5）根本不支持SNI，这是硬门槛！我之前就踩过这个坑，折腾半天后才发现版本不够。
要是用Nginx或Apache，主流版本（Nginx 0.8.21+、Apache 2.2.12+）都默认支持SNI，不用额外配置模块，先确认下版本就行。

第二步：修正SSL证书绑定细节（以IIS为例，你提到了主机头绑定） #

你已经做了基础操作，但可能有几个容易忽略的点：

• 打开IIS管理器，找到www.domain1.com站点，右键选编辑绑定
• 点击添加，类型选https，IP地址选你的公网IP（或者选“全部未分配”，但建议精确指定IP，避免冲突），端口默认443，主机头严格填www.domain1.com
• 一定要勾选要求服务器名称指示（SNI），然后在SSL证书下拉框里精准选cert1——这里要注意：证书的“使用者”或“使用者备用名称”必须包含www.domain1.com，否则绑定了也没用！
• 对www.domain2.com重复同样操作，选cert2，主机头填www.domain2.com，勾选SNI
• 关键操作：绑定完后必须重启整个IIS服务（别只重启单个站点！有时候站点重启不会加载新的SNI配置），用命令行的话直接敲iisreset就行。

第三步：排查最容易踩的坑 #

1. 证书不匹配：双击cert1证书文件，看“详细信息”里的“使用者备用名称”，必须明确有www.domain1.com，否则浏览器会直接报证书错误，这是最常见的问题。
2. 端口冲突：两个站点的HTTPS绑定都要用443端口！SNI就是靠主机头区分不同站点，不需要改端口，要是其中一个用了其他端口，肯定无法正常区分。
3. 浏览器兼容性：虽然现在几乎所有现代浏览器都支持SNI，但如果用IE 7及以下这种古董浏览器测试，肯定会出问题，建议用Chrome/Firefox/Edge最新版测试。
4. DNS解析问题：先确认www.domain1.com和www.domain2.com都正确解析到你的公网IP，用nslookup www.domain1.com命令测一下，看返回的IP是不是你的服务器IP。
5. 防火墙拦截：检查服务器的防火墙、云服务商的安全组，确保443端口是开放的，别让防火墙把HTTPS请求挡了。

第四步：验证配置是否生效 #

• 用浏览器访问两个域名，点击地址栏的锁图标，查看证书信息，确认每个域名对应自己的cert1/cert2。
• 要是还是有问题，用curl命令（Windows 10+自带）测试，强制指定IP解析，避免DNS缓存影响：

  curl -v https://www.domain1.com --resolve www.domain1.com:443:你的服务器IP
  curl -v https://www.domain2.com --resolve www.domain2.com:443:你的服务器IP
  

  看输出里的证书字段，就能清楚看到是否匹配正确。

要是用Nginx/Apache的配置参考 #

Nginx #

在nginx.conf里加两个server块就行，Nginx默认支持SNI：

server {
    listen 443 ssl;
    server_name www.domain1.com;
    ssl_certificate /path/to/cert1.pem;
    ssl_certificate_key /path/to/cert1.key;
    # 其他站点配置，比如root、index这些
}

server {
    listen 443 ssl;
    server_name www.domain2.com;
    ssl_certificate /path/to/cert2.pem;
    ssl_certificate_key /path/to/cert2.key;
    # 其他站点配置
}

配置完重启Nginx：nginx -s reload

Apache #

先确保mod_ssl和mod_vhost_alias模块已经开启，然后加两个虚拟主机配置：

<VirtualHost *:443>
    ServerName www.domain1.com
    SSLEngine on
    SSLCertificateFile /path/to/cert1.crt
    SSLCertificateKeyFile /path/to/cert1.key
    # 其他站点配置
</VirtualHost>

<VirtualHost *:443>
    ServerName www.domain2.com
    SSLEngine on
    SSLCertificateFile /path/to/cert2.crt
    SSLCertificateKeyFile /path/to/cert2.key
    # 其他站点配置
</VirtualHost>

重启Apache服务就生效了。

内容的提问来源于stack exchange，提问作者Rohil Patel