在IIS中配置多站点HTTPS，最主流且高效的方法是利用SNI（服务器名称指示）技术，允许在同一个IP地址上绑定多个域名并分别使用独立的SSL证书，无需为每个站点申请额外公网IP，大幅降低运维成本。
如何在IIS上配置多站点HTTPS：SNI与独立IP方案对比
无论你是运维新手还是老手，在一台Windows服务器上托管多个网站并开启HTTPS，都会面临方案选择，目前主流方案就两种：基于独立IP或基于SNI，行业共识认为，SNI已经成为绝大多数场景下的默认选择,因为它能最大化利用有限的公网IP资源。
独立IP方案：传统但兼容性最佳
每个站点绑定一个独立的公网IP地址，HTTPS握手时直接通过IP关联对应的证书，优点是没有任何客户端兼容性问题，老旧系统（如Windows XP、IE6）也能正常访问，缺点很明显：IP地址资源有限，尤其是IPv4已接近枯竭，额外购买IP的成本相当高,而且在公有云上每增加一个IP往往意味着额外费用。
SNI方案：当前主流，节省IP资源
SNI允许服务器在同一个IP地址上根据客户端请求的域名来选择合适的证书，IIS从8.0版本（Windows Server 2012 R2）开始原生支持SNI，配置非常简单，近年来，几乎所有现代浏览器和操作系统都已支持SNI，极少数不兼容的客户端（如部分手机浏览器）占比极低,可以忽略不计。
| 对比项 | 独立IP方案 | SNI方案 |
|---|---|---|
| IP资源占用 | 每个站点一个IP | 多个站点共享一个IP |
| 成本 | 高，IP费用叠加 | 低，只需一个IP |
| 客户端兼容性 | 完美，支持所有 | 绝大部分现代客户端支持 |
| 配置复杂度 | 较低，但IP管理麻烦 | 稍高，但一劳永逸 |
| 适用场景 | 对兼容性有极端要求的企业环境 | 大多数个人、中小型站点及云服务器 |
如果你正在采购新服务器或迁移站点，优先考虑SNI方案，它不仅是IIS多站点https配置的默认路径,也是云服务商推荐的做法。
IIS多站点配置与SSL证书绑定实战步骤
下面直接进入实操，假设你已经在Windows Server上安装好了IIS角色，并且拥有多个域名（比如a.com和b.com），你需要为每个域名分别申请SSL证书，无论是免费证书（如Let’s Encrypt）还是付费商业证书。
准备工作：获取并安装SSL证书
- 申请证书：为每个域名单独申请证书，如果所有子域名都属于同一个主域名，也可以使用通配符证书（如
.example.com）来覆盖多个子站点。 - 导入证书：在IIS管理器中，点击服务器节点，双击“服务器证书”功能，在右侧操作栏选择“导入”或“完成证书申请”,将每个域名的证书文件导入到本地计算机存储中。
在IIS中创建多个站点并绑定域名
- 在IIS管理器左侧，右键点击“站点”，选择“添加网站”。
- 站点名称：填写可识别的名称，如“A站点”。
- 应用程序池：默认即可,也可为每个站点单独创建池以隔离资源。
- 物理路径：指定网站文件所在的文件夹。
- 绑定：类型选择“http”，IP地址选择“全部未分配”，端口保持80，主机名填写实际域名（如a.com）。
重复以上步骤，为第二个站点（b.com）创建站点,同样绑定http。
为每个站点配置HTTPS绑定
HTTP绑定完成后,接下来为每个站点分别添加HTTPS绑定。
- 选中站点，点击右侧的“绑定”操作。
- 点击“添加”，类型选择“https”。
- IP地址：保持“全部未分配”（如果使用SNI，无需指定特定IP）。
- 端口：443。
- SSL证书：从下拉列表中选择该站点对应的证书（例如a.com的证书）。
- 关键一步：勾选“需要服务器名称指示（SNI）”，这是实现多站点共享IP的核心，如果不勾选,则只能有一个站点使用443端口。
- 域名：填写该站点的域名（a.com）。
- 点击“确定”。
对第二个站点重复上述操作，绑定b.com的证书，同样勾选SNI，域名填写b.com，完成后，两个站点都绑定了443端口,但通过SNI区分。
验证配置
- 打开浏览器，分别访问
https://a.com和https://b.com,确认证书正确且无安全警告。 - 如果遇到问题，检查IIS日志或使用
netsh http show sslcert命令查看证书绑定状态，你也可以在命令行中使用certlm.msc查看证书存储,确保证书私钥已导出。
多站点HTTPS配置常见问题与解决方案
即使按照步骤操作，也可能会遇到一些坑，业内专家指出,大部分问题集中在证书绑定冲突和端口占用上。
证书选择与部署误区
- 不要试图用同一个证书绑定两个不同域名（除非是通配符或多域名证书），IIS会拒绝绑定,因为证书的CN或SAN中不包含该域名。
- 通配符证书只能用于同一主域名下的所有子域名,不能跨不同主域名使用。
SNI兼容性问题
- 如果你确定有部分用户使用Windows XP或早期Android设备访问，可以考虑为这些站点单独绑定独立IP,或者使用备用方案如HTTP到HTTPS重定向。
- 对于企业内网环境，如果存在旧版代理服务器，也可能阻断SNI,此时需要升级网络设施。
端口冲突：如何让多个站点共用443端口
- 使用SNI后，多个站点可以同时绑定443端口，IIS会根据域名自动分发，前提是每个HTTPS绑定都必须勾选SNI,并且填写对应的主机名。
- 如果不勾选SNI，第二个站点的443绑定会与第一个冲突,IIS会提示端口已被占用。
优化多站点HTTPS性能与安全性
配置完成只是第一步,长期运行中还需要关注性能和安全。
启用HTTP/2
- 在IIS中，HTTPS绑定默认支持HTTP/2（Windows Server 2016及以上版本），你可以在站点绑定的“SSL证书”设置中确认，无需额外配置，HTTP/2能显著提升多站点并发加载效率。
配置HSTS（HTTP严格传输安全）
- 为每个站点添加HSTS头，强制浏览器只通过HTTPS访问，可以在IIS的HTTP响应头中添加
Strict-Transport-Security: max-age=31536000; includeSubDomains，注意，先确认站点HTTPS完全稳定后再开启,避免错误导致用户无法访问。
证书自动续期
- 使用Let’s Encrypt等免费证书时，证书有效期只有90天，建议部署自动续期工具，例如
Certify The Web或Let's Encrypt Win Simple，这些工具可以自动检测IIS绑定并更新证书,避免手动续期遗漏。
IIS多站点HTTPS配置并不复杂，关键在于理解SNI的工作原理并正确绑定证书，对于绝大多数运营多个网站的用户来说，SNI方案是成本最低、维护最便捷的选择。
IIS多站点HTTPS配置常见问题解答
问题1：IIS 多站点配置 HTTPS 时，每个站点都需要独立 IP 吗？
不需要，使用SNI技术，可以在同一个IP地址上为多个站点配置独立的HTTPS绑定，服务器会根据客户端发送的域名信息选择对应的证书，但需注意，部分旧版操作系统或浏览器可能不支持SNI,此时需要为这些站点分配独立IP作为妥协方案。
问题2：在 IIS 中为多个网站配置 SSL 证书，能否共享同一个证书？
如果多个网站同属一个顶级域名或有相同的公用域名（如.example.com），可以使用通配符证书共享，但不同域名（如a.com和b.com）必须使用各自独立的证书，因为证书绑定依赖于域名,且IIS要求每个证书的CN或SAN覆盖所用的主机名。
问题3：IIS 多站点 HTTPS 配置后，部分客户端无法访问怎么办？
这通常是因为客户端不支持SNI（如Windows XP上的IE6或某些旧版移动浏览器），解决方案包括：为这些站点单独绑定独立IP地址，或者升级客户端系统，目前极少数场景仍存在SNI兼容性问题，多数现代浏览器和操作系统已全面支持,实际影响范围非常有限。
首发原创文章，作者：王坚，如若转载，请注明出处：https://idctop.com/article/557135.html
