Configuração do IIS 7.5 com várias ligações de sites e SSL?

Question

No IIS 7.5, estou tentando conseguir isso com dois sites:

Default Web Site is bound to:

(blank host header port 80 - http)
(blank host header port 443 - https)
go.example.com
www71.example.com
the IP address of go.example.com

2nd web site "Beta" is bound to:

beta.example.com
(blank host header port 443 - https)
* using blank only because it doesn't seem to be possible to 
  bind https to a named host header

E ambos precisam trabalhar com o SSL. Mas eu tenho esses problemas:

1. Quando digito em beta.exemplo.com, vejo o site go.example.com
2. Não consigo adicionar a ligação SSL a ambos os sites de uma só vez (tenho um único certificado curinga * .exemplo.com). O site beta nem sequer será iniciado se eu adicionar a ligação https a ele.

Foi assim que eu configurei:

Qual é a maneira correta de configurá-lo?

    

Answer 1

Sem extensões SNI , você pode vincular somente um certificado SSL por IP: par de portas. Se você precisar executar 2 HTTPS no mesmo IP, vincule-os a portas diferentes e, em seguida, consulte esse URL fornecendo porta em URL (por exemplo, https://beta.example.com:444/ ). Você pode usar o mesmo certificado curinga em portas diferentes sem nenhum problema.

Se você tiver mais de um site com nome de host em branco (para o protocolo HTTP), aquele com ID inferior deverá ser um "catch all". O mesmo vale para HTTPS - aquele com ID inferior deve interceptar todas as solicitações nessa porta.

Por outro lado, você tem um certificado curinga e eu vi um artigo que diz que isso pode ser feito no IIS7: link . Eu tentei isso no passado, mas não funcionou bem para mim - muitas vezes o IIS estava lançando um erro 5xx ao acessar até mesmo os arquivos estáticos (o que parou de acontecer quando ligamos outro host a uma porta diferente). Talvez tenha sido corrigido desde então.

    

Answer 2

Indicação do nome do servidor ainda não é suportado no IIS 7 ou 7.5. Espero que eles implementem esse recurso no próximo IIS: link

    

Answer 3

Embora essa seja uma pergunta antiga, eu tive a necessidade de realizar a mesma coisa recentemente. Isso pode ser feito no IIS 7.x pelo uso de certificados de nome alternativo de assunto. Esses certificados são preferíveis a curingas porque restringir-se-ão a apenas os sites listados especificamente, reduzindo assim os ataques com base na falsificação de um nome de site falso em um domínio capturado sob um curinga.

Quando o certificado da SAN for importado para o IIS, você poderá usar a ferramenta appcmd para especificar a ligação adicional ou editar manualmente o applicationHost.config na seção, por exemplo

<site name="SomeSite" id=9>
   <bindings>
     <binding protocol="http" bindingInformation="*:80:SomeSite"/>
     <binding protocol="https" bindingInformatoin="*:443:SomeSite" />
   </bindings>
</site>