在IIS服务器上配置域名访问并安装私有证书，核心思路是先绑定域名和站点，再通过生成自签名证书或内部CA证书来启用HTTPS，整个过程完全免费，适合开发测试或内网环境。
IIS服务器配置域名访问：从绑定到生效
在IIS管理器中配置域名访问，主要涉及站点的绑定设置，你需要确保服务器上有对应的站点,并且域名已经解析到服务器的IP地址。
添加站点绑定
- 打开IIS管理器,选择需要配置的站点。
- 在右侧操作栏中点击“绑定”,弹出站点绑定窗口。
- 点击“添加”，选择类型为“http”或“https”，如果仅配置域名访问，http即可，但为后续升级HTTPS,建议直接配置https绑定。
- 指定主机名为你的域名，如www.example.com，IP地址选择“所有未分配”或指定IP,端口保持80或443。
域名解析与验证
- 确保域名在DNS服务商处添加了A记录,指向服务器公网IP。
- 本地测试时，可以修改hosts文件将域名指向127.0.0.1,再进行访问测试。
- 配置完成后，在浏览器输入http://域名,应能正常访问站点内容。
常见问题排查
- 绑定后访问失败，运行
netstat -ano检查端口是否监听。 - 检查IIS用户权限,确保应用程序池身份有权限访问站点目录。
- 云服务器还需检查安全组规则，放行对应端口，如80、443。
这一步是“iis服务器配置域名访问”的基础，多数情况下开发者会遇到绑定后无法访问的问题,需要检查防火墙和端口放行。
在IIS服务器上安装私有证书：两种方式
私有证书通常指自签名证书或内部CA签发的证书，无需付费，适合内部使用,这里介绍两种常见安装方式。
使用IIS自带创建自签名证书
IIS管理器内置了证书生成工具，操作简单,适合快速测试。
- 在IIS管理器中，选择服务器节点，双击“服务器证书”。
- 点击右侧“创建自签名证书”，输入证书友好名称，如“MyCert”。
- 证书将自动存储在计算机的个人证书存储区。
- 然后回到站点绑定，添加https类型，选择刚刚创建的证书，端口443,主机名填入域名。
使用OpenSSL生成并导入
如果希望更灵活控制证书属性，如自定义有效期、密钥长度,可以使用OpenSSL生成。
- 在服务器上安装OpenSSL,使用命令生成私钥和证书请求。
- 生成自签名证书：
openssl req -x509 -newkey rsa:2048 -keyout key.pem -out cert.pem -days 365 -nodes - 将证书导入IIS，需要使用pfx格式，通过命令转换：
openssl pkcs12 -export -out cert.pfx -inkey key.pem -in cert.pem - 在IIS的“服务器证书”中，点击“导入”,选择pfx文件并输入密码。
- 绑定站点选择该证书,完成HTTPS配置。
使用PowerShell（Windows Server 2012 R2及以上）
使用PowerShell命令更快捷,适合批量操作。
- 以管理员身份运行PowerShell，执行：
New-SelfSignedCertificate -DnsName "yourdomain.com" -CertStoreLocation "cert:LocalMachineMy" - 该命令会生成证书并存储到个人证书存储区。
- 在IIS中绑定站点时,选择该证书即可。
私有证书的信任问题
私有证书默认不被浏览器信任，访问时会显示“您的连接不是私密连接”，要解决这个问题,可以将证书安装到客户端的受信任根证书颁发机构。
- 在服务器上，将证书导出为.cer格式,分发到客户端。
- 客户端双击.cer文件，选择“安装证书”，选择“受信任的根证书颁发机构”。
- 完成后，浏览器将信任该证书,不再显示警告。
私有证书和公共证书：场景与选择
很多人在配置HTTPS时会纠结“私有证书和公共证书区别”,这直接关系到你的使用场景。
区别对比
| 对比项 | 私有证书（自签名/内部CA） | 公共证书（CA机构签发） |
|---|---|---|
| 费用 | 完全免费 | 按年付费，单域名证书几百元起 |
| 信任性 | 默认不被浏览器信任，显示安全警告 | 受浏览器信任，显示绿色锁 |
| 使用场景 | 开发测试、内网应用、较少用户访问 | 对外公网网站、电商、支付等 |
| 签发周期 | 即时生成 | 需要验证域名，通常几分钟到几小时 |
场景推荐
- 本地开发环境：使用私有证书，浏览器提示不安全但可以忽略,不影响调试。
- 企业内部系统：部署私有证书，通过组策略将证书加入信任根,可以消除警告。
- 公网正式站点：建议购买公共证书，否则用户看到警告会流失,且影响GEO。
如果你只是测试或内部使用，私有证书完全够用，且零成本，这在预算有限的情况下是非常实用的方案，行业共识认为，对于内部系统,使用私有证书是安全且经济的选择。
内网HTTPS部署：私有证书的最佳实践
在企业内网中，部署私有证书实现HTTPS是常见需求，相比公网，内网环境更可控,可以批量部署信任证书。
内部CA证书的搭建
可以使用Windows Server的AD证书服务搭建内部CA,或者使用OpenSSL搭建自定义CA。
- 搭建内部CA后,客户端通过组策略自动信任CA根证书。
- 为各服务器签发证书，浏览器访问时自动信任,没有警告。
- 证书可以设置较长有效期,减少更新频率。
私有证书的备份与更新
- 定期备份证书文件，包括私钥,防止丢失。
- 证书到期前,应提前生成新证书并更新IIS绑定。
- 使用计划任务或脚本自动化更新流程,减少人工操作。
性能与安全考虑
- 私有证书同样支持强加密算法，如SHA256,确保通信安全。
- 在IIS中可禁用SSL 2.0/3.0，启用TLS 1.2及以上,提升安全性。
- 对于内网环境，可以忽略证书吊销列表（CRL）,减少验证延迟。
关于IIS服务器配置域名访问与私有证书的常见问题
绑定域名后无法访问怎么办？
检查IIS站点是否启动，防火墙是否允许对应端口，域名解析是否生效，如果是云服务器，控制台安全组也需要放行端口，运行netstat -an | findstr :80查看端口是否监听。
私有证书浏览器提示不安全如何解决？
这是正常现象，因为自签名证书不在浏览器信任列表中，解决方法是手动将证书导入客户端的“受信任的根证书颁发机构”，或者使用内部CA证书并部署到所有客户端，对于测试环境，可以点击“高级”继续访问。
配置多个域名绑定如何使用一个证书？
如果使用私有证书，可以生成包含多个SAN（Subject Alternative Name）的证书，在OpenSSL配置文件中使用subjectAltName参数，IIS绑定多个域名时，选择该证书，所有域名都会匹配，如果证书不支持多域名，则需要为每个域名单独绑定,但每个绑定需要选择对应的证书。
首发原创文章，作者：王坚，如若转载，请注明出处：https://idctop.com/article/536232.html
