如何在IIS上配置SSL证书

---

一、前期准备（关键前提）

1. 获取 SSL 证书
   • 向权威 CA申请证书，下载适配 IIS 的PFX 格式证书（含证书与私钥），并保存证书密码（部分 CA 会提供密码文件）。
   • 若证书为其他格式（如 PEM/CER），需用 OpenSSL 等工具转换为 PFX 格式（命令示例：openssl pkcs12 -export -out cert.pfx -inkey private.key -in cert.crt -certfile ca.crt）。
    
2. 准备证书链
   • 下载 CA 提供的中间证书（Intermediate Certificate），避免浏览器提示 “证书不受信任”。
   • 若使用 MMC 导入，将中间证书导入 “本地计算机→中级证书颁发机构→证书”，根证书导入 “受信任的根证书颁发机构→证书”。
    
3. 服务器基础配置
   • 确保 IIS 已安装 “SSL/TLS” 相关组件（安装 IIS 时勾选 “安全” 类别下的 “请求筛选”“IP 和域限制” 等）。
   • 开放服务器防火墙 443 端口（HTTPS 默认端口），并在云服务器安全组放行 443 端口。
    

---

二、导入 SSL 证书到 IIS

1. 打开 IIS 管理器：按Win+R输入inetmgr，或通过 “服务器管理器→工具→IIS 管理器” 启动。
2. 导入证书：
   • 在左侧选中服务器节点，双击 “服务器证书”。
   • 右侧操作栏点击 “导入”，浏览选择 PFX 证书文件，输入证书密码，勾选 “允许私钥被导出”（便于备份），点击 “确定”。
   • 导入成功后，证书会显示在列表中，状态为 “有效”，包含有效期与域名信息。
    

---

三、为网站绑定 HTTPS 与 SSL 证书

1. 配置网站绑定：
   • 在 IIS 管理器中找到目标网站（如 Default Web Site），右键选择 “编辑绑定”。
   • 点击 “添加”，配置以下参数：

     参数	推荐配置	说明
     类型	HTTPS	启用 SSL 加密
     IP 地址	全部未分配	适配多 IP 服务器，或指定服务器公网 IP
     端口	443	HTTPS 标准端口，非 443 需在 URL 中显式指定端口
     主机名	填写完整域名（如www.example.com）	启用 SNI，支持一台服务器多域名 HTTPS
     SSL 证书	选择刚导入的证书	确保证书域名与主机名一致

      
   • 点击 “确定” 保存绑定。
    
2. 批量站点配置（可选）：若多站点共用证书（如通配符证书），重复上述步骤为每个站点添加 HTTPS 绑定，选择同一证书即可。

---

四、配置 HTTP 自动跳转 HTTPS（可选，推荐）

1. 安装 URL Rewrite 模块：从微软官网下载并安装 “IIS URL Rewrite Module”。
2. 配置重定向规则：
   • 在网站主页，双击 “URL 重写”，右侧点击 “添加规则”。
   • 选择 “空白规则”，配置：
     • 名称：HTTP to HTTPS Redirect
     • 匹配 URL：模式为(.*)，勾选 “使用”，选择 “正则表达式”。
     • 条件：添加条件，输入{HTTPS}，模式为^OFF$。
     • 操作：操作类型选择 “重定向”，重定向 URL 为https://{HTTP_HOST}/{R:1}，状态代码选择 “301 - 永久重定向”，勾选 “停止处理后续规则”。
      
   • 点击 “应用” 保存规则，HTTP 请求会自动跳转至 HTTPS。
    

---

五、验证 SSL 证书配置成功

1. 本地验证：在服务器上打开浏览器，访问https://localhost或https://服务器IP，地址栏显示安全锁，证书信息正确，无安全警告。
2. 远程验证：在客户端浏览器输入https://域名，显示安全锁，点击锁图标可查看证书详情（有效期、颁发机构、域名匹配）。
3. 工具验证：使用 SSL Labs Server Test（https://www.ssllabs.com/ssltest/）检测证书配置，评分达到 A + 或 A 即符合安全标准。

---

六、常见问题排查

1. 证书不受信任：检查中间证书是否导入，或使用 MMC 将根证书导入 “受信任的根证书颁发机构”。
2. 443 端口被占用：通过命令netstat -ano | findstr :443查找占用进程，关闭冲突程序或修改端口。
3. 私钥权限问题：右键证书→“所有任务→管理私钥”，添加 “IIS_IUSRS” 用户，授予 “读取” 权限。
4. 多域名证书不生效：确保主机名填写正确，IIS 8 + 支持 SNI，需在绑定中指定主机名。

---

七、最佳实践

1. 定期更新证书：证书到期前 1-2 个月申请续期，避免网站访问异常。
2. 启用强加密套件：在 IIS 管理器→服务器→“SSL 设置” 中，禁用弱加密算法（如 TLS 1.0/1.1），启用 TLS 1.2/1.3。
3. 备份证书：导出 PFX 证书并保存密码，用于服务器迁移或证书丢失恢复。

香港/美国/日本/韩国等服务器租用，详细咨询QQ：1569504322
了解更多服务器及资讯，请关注梦飞科技官方网站mfisp.com，感谢您的支持！