XP 上的 IE 不支持 SNI 允许单个服务器的多个证书答案

【问题标题】：IE on XP does not support SNI to permit multiple certificates for single serverXP 上的 IE 不支持 SNI 允许单个服务器的多个证书
【发布时间】：2013-08-31 22:52:15
【问题描述】：

我一直在寻找几个小时来解决我的问题/问题，虽然我相信我已经能够澄清我遇到问题的原因，但我一直无法找到解决方案。

我有一台服务器托管多个网站，其中几个网站正在使用 SSL 证书。我有一些所有站点都可以访问的共享图像，并且阻止 SSL 站点上的非安全错误的方法是从 https://www.example-shared-image-server.com/images/imagename.jpg 提供这些共享图像

这很好，直到我注意到在 Windows XP 上使用 Internet Explorer 时，它会给出消息“此网站的安全证书存在问题”。然后我确定这是因为它为服务器上的不同域获取证书。这一切都与使用 SSL 证书在一台服务器上托管多个站点有关。

假设我有四个站点，只有前两个安装了 SSL 证书。

https://www.one.com
https://www.two.com
http://www.three.com
http://www.four.com

别忘了以下几点：

https://www.example-shared-image-server.com

因此，当从上述共享图像 URL 访问图像时，它实际上会显示 https://www.one.com，因此会出现错误。

所以这似乎与 IE 在 Windows XP 或 Vista 上不支持 SNI 或 SSL/TLS 而在 Win 7 和 Win 8 上有关。这似乎是 M$ 的一个直接策略，迫使人们升级到更现代的操作系统。但事实上所有其他浏览器都支持它。

但是，我无法确定的是我能做些什么。所以我相信我的问题是，是否可以在不同域的同一服务器上使用 SSL 托管多个网站而不会导致 IE 显示错误。如果不是，其他人会怎么做？是的，我该如何配置它？

我已经为此工作了好几个小时，如果有人可以提供帮助，我将不胜感激。

非常感谢，

罗伯

【问题讨论】：

标签： apache internet-explorer https sni

【解决方案1】：

Windows XP 的 SChannel 版本不支持 SNI，这意味着 IE 和其他基于 WinINET/WinHTTP 的应用程序不支持该平台上的 SNI。

http://blogs.msdn.com/b/ieinternals/archive/2009/12/07/certificate-name-mismatch-warnings-and-server-name-indication.aspx

Windows Vista 中引入了 SNI 支持；如果您没有看到它在该平台上运行，则很可能 IE 已从默认值重新配置为启用 SSL2。与 SSLv2 兼容的握手不带有 SNI 扩展等 TLS 扩展。

这里唯一真正的解决方法是：

将每台服务器托管在不同的 IP 或端口上（以便服务器可以根据该信息选择证书）
使用证书的 SubjectAltName 字段使用包含多个主机名的证书

【讨论】：

@Craig 如果你有一个公共站点，很难告诉他们不支持 xp，相反，我会开始使用 http 服务，然后如果不是 XP，则重定向到 https。
“使用 http 开始服务”是不安全的。
@EricLaw 确保您失去了一些安全性，但如果您想保留您的 ie XP 用户，我看不到任何其他解决方案..
@Peter :-) 不幸的是，没有适用于 Windows XP 的 IE 版本甚至可以运行现代网站。 Chrome 仍然可以安装在 XP 上，不是吗？根据w3counter.com/globalstats.php的说法，Windows XP 本身仅占现在 Internet 上所有机器的 6%，而 IE 8 仅占所有在用 Web 浏览器的 2%。 2% 真的是一个值得继续追求的细分市场吗？让您的网站在这区区 2% 的严重过时的网络浏览器上完全正常运行所花费的成本可能比您从这项工作中获得的收益要高。
@Craig 好消息是今天的 XP 和 IE 似乎都不那么受欢迎了：根据 w3counter.com 的数据，XP 低于 3%，IE8 低于 1%。这就是进步，我怀疑。