SSL证书已安装但IE报错：未解析DNS及证书绑定疑问

一、IE证书错误的核心原因：访问地址与证书域名不匹配 #

你猜测的DNS未指向新服务器其实不是直接原因，真正的问题在于你当前是通过IP地址访问站点，而你的证书是绑定到目标服务器的DNS名称的——浏览器（尤其是IE这种对证书规则更严格的老浏览器）会验证你访问时使用的地址（这里是IP）是否存在于证书的**通用名称（CN）或主题备用名称（SAN）**字段中。

因为你的证书是为DNS名称申请的，里面不会包含这个IP，所以哪怕DNS已经指向新服务器，只要你用IP访问，还是会触发证书错误。解决这个验证问题的临时方法：

• 修改本地hosts文件，把证书绑定的DNS名称映射到新服务器的IP，然后用域名访问站点，这样就能验证证书是否正常工作
• 如果必须用IP访问，需要重新申请包含该IP作为SAN字段的证书（不过这种场景比较少见，通常还是推荐用域名访问）

二、证书绑定的核心逻辑：绑定DNS名称，与CSR生成机器无关 #

证书的有效性核心绑定的是你申请时指定的DNS名称（或IP），和生成CSR的机器没有直接关联：

• CSR（证书签名请求）只是一个包含公钥、你要申请的域名信息的请求文件，CA会根据CSR里的域名信息签发证书，同时绑定对应的公钥
• 只要你的新服务器持有与CSR配对的私钥（生成CSR时会同时生成私钥，要确保这个私钥也迁移到了新服务器），就能将证书绑定到站点上——不管这台服务器是不是当初生成CSR的那台机器

简单说：证书认的是访问域名和证书里的域名是否一致，以及服务器是否持有对应的私钥，和生成CSR的机器无关。

内容的提问来源于stack exchange，提问作者Mark