Windows XP 中 Internet Explorer 8 的证书错误

Question

我和我的团队正在开发的项目在运行 Windows XP 上的 Internet Explorer 8 时存在安全问题。

我们的应用托管在 Azure 网站的专用实例中，并且拥有由 GeoTrust 发布的 EV 证书。该证书在所有浏览器上都可以正确使用，但在运行 Windows XP 上的 Internet Explorer 8 上会出现以下警告：

“此网站提供的安全证书是为不同网站地址发布的。”

当我查看证书时，只能看到由“MSIT Machine Auth CS 2”发布的 *.azurewebsites.net 证书。

我们在之前的一个问题中找到了更多关于此问题的信息：IE8 SSL Cert Problems while other browsers work like a charm 解决方案是在 IIS 上删除 SNI 配置，但是我们无法在 Azure 网站上执行此操作。我们该怎么办？

- Maximo Dominguez

Answer 1

最有可能的是，您正在共享一个外部IP地址（非专用的Azure网站？），由于IE8和Windows XP不支持服务器名称指示，因此它不起作用。

获得一个专用实例应该解决您的问题，尽管我没有测试过专用的Azure网站是否获得了独特的IP，所以您可以自己尝试一下。

更新：似乎您可以在将证书上传到标准模式Azure网站时选择不使用SNI。

- Joachim Isaksson

---

Joachim，我和mamodom一起工作。我们有一个专用实例，并且知道Windows XP的SNI限制。我们有两个专用实例运行我们的应用程序，但由于它是一个网站而不是云服务器，我们无法进入并配置IIS。 - amhed

@amhed 现在我看到mamodom在我的回答后添加了一些信息。如果您无法关闭SNI，则目前我所知道的没有办法使XP上的IE直接与您的SSL服务器配合工作。我能想到的一个方法是使用ARR或类似的代理请求在一个或多个云服务器上运行。这样，专用服务器可以处理SSL协商，缺点是SSL不会端到端。 - Joachim Isaksson

@amhed在答案中提供了一个链接，其中包含有关在选择基于IP的SSL（即非SNI）时上传SSL证书的信息。根据我有限的测试，选择基于IP的SSL时似乎不使用SNI，尽管我没有XP进行测试。 - Joachim Isaksson

太棒了。谢谢@Joachim！ - amhed

Answer 2

以防万一... SNI 似乎也会让 Android Bluefire Reader 混淆。我们有一个网站，允许注册用户下载购买的电子书，并且在迁移到 Azure 后，直接下载到 Bluefire 的功能停止工作了。一旦我们在 Azure 中更改了证书的设置，IE+WinXP 和 Blufire 都开始正常工作。

- user3019087