Lotus/IBM Domino Server多Internet站点SSL配置问题求助

我来分享几个针对这个问题的排查和解决思路，都是基于Domino服务器的常见配置坑总结的：

• 严格校验Internet Site文档的独立配置
  先逐个检查每个站点的「SSL 设置」区域：

  • 确认Key ring file字段准确指向对应域名的密钥环文件，并且不要勾选「继承服务器文档中的设置」——这个选项很容易被误开，一旦开启，站点会直接复用服务器级的SSL密钥，导致所有域名共用一个证书。
  • 核对「主机名映射」里的「主机名」字段，必须精准匹配你的域名（比如site-a.com、site-b.com），不要用模糊的通配符，避免站点之间的匹配逻辑冲突。之前短暂成功可能是配置正确，但后续误改了这些选项导致失效。

• 排查Directory Assistance（DA）的配置冲突
  既然用了DA管理两个独立通讯录，大概率和这个有关：

  • 检查DA文档的搜索优先级，确保服务器读取站点配置时，优先访问对应域名的通讯录，而不是默认的公共通讯录。如果搜索顺序搞反了，服务器会读到错误的证书配置。
  • 确认两个通讯录里没有重复的Server文档或Internet Site文档副本——如果某个通讯录里的旧站点文档覆盖了当前服务器的配置，就会出现证书“串用”的情况。

• Fix Pack 10相关的验证

  • 虽然装了FP10，但可以查一下IBM官方的Domino FP10修复清单，看看有没有针对多站点SSL证书分配的已知bug补丁。有时候FP会引入特定场景的问题，比如缓存机制导致配置不更新。
  • 强制重启Domino服务器！很多时候配置变更后没有彻底重启，服务器缓存的旧配置没有刷新，之前短暂成功可能是临时缓存生效，后续缓存过期就回到了错误状态。

• 密钥环文件本身的验证

  • 用Domino自带的certmgr工具打开每个密钥环文件，确认里面的证书是对应域名的有效证书，密钥对匹配且没有过期。如果密钥环损坏，服务器会自动 fallback到默认的密钥环。
  • 检查密钥环文件的系统权限，确保Domino服务器进程对这些文件有读写权限——权限不足的话，服务器加载不了指定的密钥环，只能用默认的。

• 日志定位问题根源
  去Domino的日志目录找console.log和SSL.log，搜索SSL、Internet Site、key ring这些关键词：

  • 看有没有“密钥环加载失败”“主机名匹配错误”这类日志，这些信息能直接告诉你是哪个环节出了问题，比如某个站点的密钥环路径写错了，或者域名匹配逻辑触发了错误的站点配置。

• 临时隔离测试

  • 先禁用其中一个站点的Internet Site文档，测试剩下的站点是否能正常使用对应证书，然后再逐个启用，排查是哪个站点的配置导致了全局冲突。
  • 尝试新建一个干净的Internet Site文档，重新配置域名和密钥环，替换旧文档——有时候旧文档的配置会有隐性损坏，新建能排除这个可能。

内容的提问来源于stack exchange，提问作者teleman