多个域名共用一个SSL证书

Question

我在IIS中有一个没有主机头的单个站点，有50多个唯一的域名都指向这个站点。是否有可用的通配符SSL证书可以安装在该站点上，以便它能与每个域名一起使用？我知道通配符证书存在，但我认为它们仅限于单个TLD。

我希望在单个站点上安装多个证书，因为每个域名已经购买了证书，但这不会发生。

我查看了IIS 7 SSL for multiple sites with a single IP，它指向http://www.sslshopper.com/article-ssl-host-headers-in-iis-7.html，其中提到我需要统一通信证书http://www.sslshopper.com/unified-communications-uc-ssl-certificates.html 有什么想法吗？统一证书会起作用吗？

IIS 7.5

- Dustin Davis

Answer 1

通配符SSL证书适用于单个域名。对于您的情况，您需要一个可用于每个域名的证书，但这样做不太安全，例如，您可以欺骗hotmail.com。

然而，在X509中有一个名为Subject Alternative Name（SAN）的属性。它允许在固定列表中使用证书的域名，但是列表在颁发时就已经固定了。您的链接说它使用了这种方法，但我很困惑他们为什么说它们主要用于UC服务器，它们作为普通的HTTPS证书也可以正常使用。我现在正在开发机上使用其中之一。

如果您认为它们很专业，则Verisign和Entrust也提供此类证书。

- blowdart

---

是的，我们正在考虑委托，但最有可能选择维瑞信。我们联系了我们的主机并与他们交谈，他们确认我们需要一个统一通信证书（或Verisign称之为SAN证书）。谢谢。 - Dustin Davis

Answer 2

原则上，每个服务器（指“服务器端响应客户端请求的任何程序”）只能发送一个证书。它还将发送一系列证书，直到根证书。

对于普通的SSL/TLS，握手是在客户端有机会指示要为哪个域名获取页面之前完成的（这是在HTTP头中完成的），因此您在这里没有机会提供正确的证书。

常见的解决方案是，服务器具有多个IP地址（每个域名一个或至少每个SSL证书一个），因此可以通过IP地址识别应使用哪个证书。（我不知道IIS如何处理这个问题。）

分配新的IP地址随着IPv4地址日益稀缺变得更加棘手，因此RFC 6066（以及其前身）定义了服务器名称 TSL扩展（扩展ID 0），允许客户端在ClientHello消息中包含所需的服务器名称（该消息启动握手），从而使服务器选择正确的证书。

没有严肃的认证机构会为*.com或类似域名提供通配符证书，因为使用这样的证书可以冒充几乎任何人。一个证书可以列出多个域名，但我不知道这些域名的数量上限是多少（对于IIS和常规客户端都是如此）。

- Paŭlo Ebermann

---

Verisign：使用单个证书保护多达100个域名 - Dustin Davis

顺便提一下：TLS 1.1具有传递相关域名的机制，因此服务器可以在HTTP请求之前提供适当的证书。 - Eugene Mayevski 'Callback

@Eugene：啊，谢谢。看来我得再仔细地读一遍规格说明。 - Paŭlo Ebermann