Como proteger um site (iis7.5) que já possui um certificado de um redirecionamento de outro domínio

Question

Eu estou olhando para adicionar um certificado SSL ao nosso site, que normalmente é uma questão simples, mas temos uma complicação que atualmente não tenho certeza de como resolver / resolver.

Nosso servidor está atualmente protegendo um site que é um redirecionamento de outro servidor e estamos descobrindo que não podemos vincular dois certs ao mesmo ip.

História
Algum tempo atrás, nosso departamento de marketing queria que nossos usuários pudessem fazer login no site do aplicativo em nosso site público (company.com) e manter o URL de 'app.company.com'. O site público é criado e mantido por outra organização, com todo o site já em https.

Para facilitar a solicitação, criamos um novo site, 'app' no servidor do application.com, instalamos o certificado e o vinculamos ao site 'app'. Este site usa o nome do host 'app.company.com' e aponta para a mesma pasta / código que o site application.com.

Agora precisamos proteger o aplicativo e todos os acessos do site application.com, mas não temos certeza de como avançar.

Até agora, tentamos substituir seu certificado pelo nosso, o que funciona, mas traz o aviso 'cert não corresponde ao domínio' no cliente, o que precisamos evitar. Tentamos adicionar nosso certificado ao site padrão em application.com, mas recebemos a 'ligação também atribuída a outra ligação de sites', o que impede o acesso do site público.

Configuração atual

    

Answer 1

Você recebe um segundo endereço IP para o application.com e vincula o certificado a ele?

No IIS 7.x, cada endereço IP pode ter apenas um certificado atribuído. Com um segundo endereço, você pode adicionar um segundo certificado e usar os dois.

    

Answer 2

Você precisa usar o certificado curinga * .company.com? Você pode obter um certificado de Unified Communications (com Subject Alternative Names) que cubra app.company.com e app.application.com com um certificado.

    

Answer 3

Existem três soluções possíveis. Os dois primeiros mencionados acima.

Soluções possíveis

1) Dê ao seu servidor dois IPs, assim ele pode responder com um certificado diferente em cada um Você só pode ter um único certificado em um determinado IP e porta. O que significa que o servidor que responde na porta 443 criptografa seu tráfego usando o certificado antes de fazer qualquer outra coisa - antes de verificar em qual site você deseja se conectar. Normalmente isso significa um certificado, um servidor, mas isso permite que você tenha seu bolo e o coma. É a solução ideal.

2) Obtenha um certificado com vários endereços válidos - você pode obter certificados com vários nomes dentro deles, portanto, o campo Nomes Alternativos de Assunto pode conter app.company.com e app.application.com e, assim, qualquer pessoa que se conecte consideraria o servidor como sendo ok.

3) Um kludge que você vê com bastante frequência é executar https em portas alternativas para o 443. Você configura um redirecionamento do link para < um href="https://app.company.com:444"> link e instale o certificado no servidor que está respondendo ao 444. Você faz o mesmo para link . É um kludge, mas deve funcionar.