企业官网建设流程全解析

1. IIS多二级域名HTTPS配置实战指南

作为Windows Server环境下最常用的Web服务器，IIS（Internet Information Services）在企业级网站部署中占据重要地位。当我们需要为多个二级域名配置HTTPS时，会遇到证书绑定、域名解析等一系列技术挑战。本文将基于Windows Server 2019环境，详细演示如何为类似blog.example.com、shop.example.com等二级域名配置HTTPS访问。

注意：实际操作前请确保已拥有有效的域名和SSL证书，本文以通配符证书(*.example.com)为例进行说明。

1.1 基础环境准备

首先确认服务器已安装IIS角色和URL Rewrite模块。打开"服务器管理器"，点击"添加角色和功能"，勾选"Web服务器(IIS)"角色，在角色服务中确保安装以下组件：

• 常见HTTP功能（全部子项）
• 安全性下的"请求筛选"和"URL授权"
• 应用程序开发下的".NET Extensibility 4.5"和"ASP.NET 4.5"

安装完成后，通过以下PowerShell命令验证IIS状态：

Get-WindowsFeature -Name Web-* | Where-Object {$_.InstallState -eq "Installed"}

1.2 证书准备与导入

对于多二级域名场景，推荐使用通配符证书（*.example.com）或多域名证书（SAN证书）。将获得的.pfx证书文件复制到服务器，按以下步骤导入：

1. 打开"运行"窗口（Win+R），输入"mmc"打开控制台
2. 文件 > 添加/删除管理单元 > 选择"证书" > 计算机账户 > 本地计算机
3. 在"个人"证书存储上右键 > 所有任务 > 导入
4. 选择.pfx文件，输入证书密码，勾选"标记此密钥为可导出"

导入后验证证书指纹是否匹配：

Get-ChildItem -Path Cert:\LocalMachine\My | Where-Object {$_.Subject -like "*example.com*"} | Select-Object Thumbprint,Subject

2. IIS站点配置详解

2.1 主站点基本配置

1. 打开IIS管理器，右键"网站" > "添加网站"
2. 填写站点名称（如PrimarySite），物理路径选择网站目录
3. 在"绑定"部分点击"添加"，类型选择https，主机名留空（默认绑定）
4. 从SSL证书下拉列表选择导入的证书

此时访问https://服务器IP应能看到默认页面。接下来为二级域名创建独立站点。

2.2 二级域名站点创建

以blog.example.com为例：

1. 右键"网站" > "添加网站"
2. 站点名称填写"BlogSite"，物理路径指向博客目录
3. 添加绑定：类型https，主机名填写"blog.example.com"，选择相同证书
4. 重复上述步骤为其他二级域名（如shop.example.com）创建站点

关键配置检查点：

• 每个站点应有独立的应用程序池（推荐）
• 身份验证根据需要启用（通常启用匿名身份验证）
• 确保每个站点的"默认文档"设置正确

3. 域名解析与绑定优化

3.1 DNS解析配置

在域名管理后台添加A记录：

• 主机记录：blog → 指向服务器IP
• 主机记录：shop → 指向服务器IP
• 通配符记录：* → 指向服务器IP（可选）

验证解析是否生效：

nslookup blog.example.com nslookup shop.example.com

3.2 URL重写规则配置

为避免HTTP访问，建议强制HTTPS跳转：

1. 安装URL Rewrite模块（若未安装）
2. 打开站点 > URL重写 > 添加规则
3. 选择"空白规则"，匹配模式：(.*)
4. 条件添加：{HTTPS}off
5. 操作类型：重定向，URL：https://{HTTP_HOST}/{R:1}

示例web.config配置片段：

<rule name="Force HTTPS" stopProcessing="true"> <match url="(.*)" /> <conditions> <add input="{HTTPS}" pattern="off" ignoreCase="true" /> </conditions> <action type="Redirect" url="https://{HTTP_HOST}/{R:1}" redirectType="Permanent" /> </rule>

4. 高级配置与性能优化

4.1 SNI（服务器名称指示）配置

当多个站点共享同一IP时，必须启用SNI：

1. 打开每个HTTPS绑定的编辑界面
2. 勾选"需要服务器名称指示"
3. 对于较旧的客户端（如Windows XP），可能需要单独配置非SNI绑定

验证SNI是否生效：

Get-WebBinding | Where-Object {$_.Protocol -eq "https"} | Select-Object ItemXPath, BindingInformation

4.2 HTTP/2启用

在IIS 10+中默认启用HTTP/2，可通过以下方式优化：

1. 注册表调整（提升并发流限制）：

   New-ItemProperty -Path "HKLM:\SYSTEM\CurrentControlSet\Services\HTTP\Parameters" -Name "EnableHttp2Tls" -Value 1 -PropertyType DWORD -Force

2. 调整应用池队列长度：

   Set-ItemProperty -Path "IIS:\AppPools\.NET v4.5" -Name queueLength -Value 5000

4.3 证书自动续订

使用Certbot或Windows计划任务自动化续订：

1. 安装Certbot for Windows：

   choco install certbot -y

2. 创建续订脚本（renew.ps1）：

   certbot renew --quiet --post-hook "net stop w3svc && net start w3svc"

3. 设置计划任务每月运行一次

5. 常见问题排查指南

5.1 证书错误排查

当出现"证书不匹配"错误时：

1. 检查绑定中的主机名是否与证书Subject/SubjectAltName匹配

   Get-ChildItem -Path Cert:\LocalMachine\My | Where-Object {$_.Thumbprint -eq "YOUR_THUMBPRINT"} | Select-Object -ExpandProperty DnsNameList

2. 验证证书链是否完整：

   certutil -verify -urlfetch YOUR_CERT.cer

3. 检查证书有效期：

   Get-ChildItem -Path Cert:\LocalMachine\My | Where-Object {$_.Thumbprint -eq "YOUR_THUMBPRINT"} | Select-Object NotBefore,NotAfter

5.2 403禁止访问问题

典型原因及解决方案：

1. 匿名用户权限不足：

   • 检查站点目录的NTFS权限，确保IIS_IUSRS有读取权限
   • 验证应用程序池标识（高级设置 > 进程模型 > 标识）

2. IP限制：

   • 检查IIS中的"IP地址和域限制"模块
   • 查看失败请求日志中的客户端IP

3. 请求筛选规则冲突：

   • 临时禁用请求筛选规则测试
   • 检查web.config中的 设置

5.3 性能优化技巧

1. 启用动态内容压缩：

   Enable-WebHandler -Name "DynamicCompression" -PSPath "IIS:\" Set-WebConfigurationProperty -Filter /system.webServer/httpCompression -Name dynamicCompressionEnableCpuUsage -Value 0 -PSPath "IIS:\"

2. 调整SSL会话缓存：

   Set-ItemProperty -Path "HKLM:\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL" -Name "ServerCacheTime" -Value 3600

3. 优化TLS协议版本：

   Disable-TlsCipherSuite -Name "TLS_RSA_WITH_AES_256_CBC_SHA" Enable-TlsCipherSuite -Name "TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384"

6. 安全加固措施

6.1 头部安全策略

在web.config中添加安全头部：

<httpProtocol> <customHeaders> <add name="X-Content-Type-Options" value="nosniff" /> <add name="X-Frame-Options" value="SAMEORIGIN" /> <add name="Content-Security-Policy" value="default-src 'self'" /> <add name="X-XSS-Protection" value="1; mode=block" /> <add name="Referrer-Policy" value="strict-origin-when-cross-origin" /> </customHeaders> </httpProtocol>

6.2 请求筛选设置

防范常见攻击：

1. 限制HTTP方法：

   <security> <requestFiltering> <verbs allowUnlisted="false"> <add verb="GET" allowed="true" /> <add verb="POST" allowed="true" /> </verbs> </requestFiltering> </security>

2. 阻止可疑扩展名：

   Add-WebConfigurationProperty -Filter "/system.webServer/security/requestFiltering/fileExtensions" -Name "." -Value @{fileExtension='.config';allowed='false'}

6.3 日志监控建议

1. 启用详细日志记录：

   Set-WebConfigurationProperty -Filter "system.applicationHost/sites/siteDefaults/logFile" -Name "logExtFileFlags" -Value "Date,Time,ClientIP,UserName,ServerIP,Method,UriStem,UriQuery,HttpStatus,Win32Status,TimeTaken,ServerPort,UserAgent,Referer,Host"

2. 设置日志轮转：

   Set-WebConfigurationProperty -Filter "system.applicationHost/sites/siteDefaults/logFile" -Name "period" -Value "Daily" Set-WebConfigurationProperty -Filter "system.applicationHost/sites/siteDefaults/logFile" -Name "truncateSize" -Value 20971520

在实际运维中，我发现定期检查SSL/TLS配置尤为重要。使用工具如SSL Labs测试（https://www.ssllabs.com/ssltest/）可以全面评估服务器安全性。对于高流量站点，建议考虑硬件SSL加速器或专用SSL卸载设备来减轻服务器负担。