在IIS上安装私有证书并确保默认网站访问正常，核心在于先确认默认网站是否绑定正确且启动，然后通过服务器证书模块生成或导入证书，最后将HTTPS绑定到网站即可。
IIS默认网站打不开？常见原因与排查流程
很多人在配置IIS时第一个遇到的坑就是默认网站无法访问,这个问题通常出现在刚安装IIS或重装系统后，浏览器输入localhost显示连接失败，下面按照从简单到复杂的顺序，列出可能的原因和对应的操作。
检查默认网站是否启动
打开IIS管理器,在左侧连接树中展开服务器节点，点击“网站”文件夹，右侧操作区会列出所有网站，默认网站的状态列显示“已停止”或“已启动”，如果显示停止，右键点击默认网站，选择“启动”，据行业共识，超过一半的IIS访问问题都源于网站未启动。
绑定配置是否正确
默认网站默认绑定所有IP地址的80端口,如果修改过绑定，可能会导致访问异常，操作方法：
- 右键默认网站,选择“编辑绑定”。
- 检查“类型”是否为http，“IP地址”是否设为“全部未分配”，端口是否为80。
- 如果主机名不为空,访问时必须通过主机名访问，直接使用IP或localhost可能会失败。
端口冲突与防火墙拦截
80端口被其他程序占用是常见原因,在CMD中运行netstat -ano | findstr :80，如果看到占用进程，可关闭冲突程序或修改IIS绑定端口，防火墙入站规则若未开放80端口，也会导致外部无法访问，在Windows防火墙中新建入站规则，允许TCP 80端口，或直接启用“万维网服务(HTTP)”预定义规则。
应用程序池停止
默认网站运行在DefaultAppPool下,如果该池被停止，网站也会无法响应，在IIS管理器的“应用程序池”节点中，检查DefaultAppPool的状态，若停止则启动，如果池频繁崩溃，考虑调整.NET CLR版本或启用回收机制。
在IIS上安装私有证书，从生成到绑定
私有证书通常指内部使用或测试环境下的证书,可以是自签名证书，也可以由企业内部的CA颁发，无论哪种，安装流程基本一致，核心是IIS的“服务器证书”模块。
私有证书的两种获取方式
- 自签名证书：IIS自带生成工具，适合开发测试，特点：免费、无需外部CA，但浏览器会提示不安全。
- 内部CA证书：通过企业内部ADCS或其他CA签发，浏览器可通过组策略信任，实现绿色地址栏，适合企业内网使用。
对于生产环境,多数情况下建议使用合规的公共CA证书或企业内部受信任的CA私有证书。
生成证书请求并导入证书
如果使用内部CA,操作路径如下：
- 打开IIS管理器,点击服务器根节点，双击“服务器证书”。
- 在右侧操作区点击“创建证书申请”，填写组织信息，密钥长度设为2048位或更高。
- 将生成的CSR文件提交给内部CA,获取CER格式的证书文件。
- 在“服务器证书”界面点击“完成证书申请”，选择导入导出的证书，设置友好名称。
如果使用自签名证书,直接点击“创建自签名证书”，填入名称，选择证书存储位置（Web主机）。
将证书绑定到默认网站
证书导入后,需要绑定到默认网站的HTTPS端口：
- 在默认网站的“绑定”界面，点击“添加”。
- 类型选择“https”，IP地址和端口保持默认（443）。
- SSL证书下拉框中选择刚才导入的证书,确定保存。
务必注意：如果默认网站已经绑定80端口，添加HTTPS绑定后两种协议可同时访问，不会冲突。
私有证书安装后的验证与常见问题
证书绑定后,需要验证HTTPS是否正常工作，并排查证书信任问题。
如何验证HTTPS是否生效
在浏览器地址栏输入https://localhost，如果证书安装正确，应显示连接安全（自签名证书会显示不安全，但连接已加密），也可以使用OpenSSL或curl命令行测试：curl -I https://localhost，观察是否返回200状态码。
浏览器提示不安全？原因与对策
自签名证书被浏览器提示“不安全”是正常现象，因为客户端不信任该证书颁发者，解决办法：
- 将自签名证书手动导入到客户端的“受信任的根证书颁发机构”存储区。
- 如果使用内部CA,确认客户端已加入域或已安装CA根证书。
- 检查证书绑定是否正确,证书是否过期。
行业内通常建议,面向公众的网站不要使用自签名证书，应使用公共CA签发的证书，私有证书更适合内网系统或测试环境。
表格：IIS默认网站常见问题与解决方案
| 问题现象 | 可能原因 | 解决步骤 |
|---|---|---|
| 默认网站无法启动 | 绑定端口冲突或应用程序池异常 | 检查端口占用，重启应用程序池 |
| 默认网站已启动但无法访问 | 防火墙未放行端口或绑定主机名不一致 | 检查防火墙规则，调整绑定设置 |
| 安装证书后HTTPS无法访问 | 证书未正确绑定或443端口被占用 | 重新绑定证书，检查端口占用 |
| 浏览器提示证书错误 | 证书未被信任或证书链不完整 | 安装根证书，或使用公共CA证书 |
Q&A：IIS默认网站与证书安装常见问题
问题：IIS默认网站打开显示404，如何解决？
404表示页面不存在,与网站访问性无关，检查默认网站物理路径（默认是C:inetpubwwwroot）下是否存在请求的文件，如果未修改过，通常应包含iisstart.htm，如果文件被删除，可还原或创建默认页面，检查是否启用了目录浏览，若未启用且无默认文档，则返回404。
问题：私有证书安装后HTTPS无法访问，如何排查？
首先检查绑定是否添加了HTTPS类型,证书是否选择正确，然后确认443端口是否被防火墙阻止，在CMD中运行netstat -ano|findstr 443，看是否有IIS进程在监听，如果端口被占用，可修改绑定端口或停止冲突程序，检查证书是否过期，在IIS“服务器证书”模块中查看证书有效期。
问题：自签名证书和付费证书在IIS上安装有何区别？
自签名证书由IIS本地生成,无需外部CA，安装步骤更简单，但浏览器默认不信任，适用于开发或内部测试，付费证书由公共CA颁发，安装时需导入完整证书链，浏览器自动信任，适用于生产环境，两者在IIS上的绑定操作完全一致，区别仅在于证书来源和信任链部署，付费证书需要年费，但能获得更广泛的客户端兼容性。
在IIS环境中，默认网站是HTTPS配置的基础，私有证书安装的核心在于证书导入与绑定，这两步操作正确，即可实现加密访问。
首发原创文章，作者：王坚，如若转载，请注明出处：https://idctop.com/iis%e6%80%8e%e4%b9%88%e6%89%93%e5%bc%80%e9%bb%98%e8%ae%a4%e7%bd%91%e7%ab%99%ef%bc%8c%e6%80%8e%e4%b9%88%e5%ae%89%e8%a3%85%e7%a7%81%e6%9c%89%e8%af%81%e4%b9%a6%ef%bc%9f/
