IIS 部署 HTTPS 站点教程

Let’s Encrypt（https://letsencrypt.org）是一家可以免费签发SSL/TLS证书的CA机构，旨在推广HTTPS的普及，促进了基础DV SSL证书的广泛使用。其证书已被Mozilla、Google、Microsoft和Apple等主流浏览器所支持，只要web服务器配置好HTTPS证书，浏览器在加载时就会验证该证书的有效性。使用Let’s Encrypt的一个重要原因是其免费性，这有助于避免ISP劫持；此外，申请速度快且无需注册账户等优点也使其在众多免费CA中脱颖而出，成为一个方便且理想的选择。Let’s Encrypt提供的基础DV SSL证书仅提供数据加密功能，不验证身份，因此无法向用户证明网站的所有者。尽管如此，这已经足以满足基本需求。

不建议使用沃通（WoSign）证书。

PS:目前主流的SSL证书主要分为DV SSL、OV SSL和EV SSL三种。

DV SSL是最简易的类型，仅提供数据加密功能，不验证身份。目前免费的SSL证书都是这种类型。OV SSL提供加密功能，并会验证身份，信赖度更高，但需要付费。EV SSL是安全级别和信赖度最高的SSL证书，适用于金融证券、银行和网上支付网站，强调网站安全和企业形象，是收费最高的。

Let’s Encrypt提供了多种工具，不同平台使用不同的工具和方法。在Windows平台上，推荐使用letsencrypt-win-simple（https://github.com/Lone-Coder/letsencrypt-win-simple/releases）来申请证书，操作简单快速。以下是使用letsencrypt-win-simple在Windows Server上部署HTTPS的实践经验，文末附有部署过程中遇到的问题及其解决方案。

1. 准备工作 1.1 设置DNS：在DNS服务器上设置正确的域名（可以是二级域名或三级域名）。

   1.2 下载并运行letsencrypt-win-simple：下载最新版本的letsencrypt-win-simple（https://github.com/Lone-Coder/letsencrypt-win-simple/releases），在服务器上解压letsencrypt-win-simple，解压后的文件结构如下：

   letsencrypt-win-simple.V1.9.1 文件结构

   1.3 letsencrypt-win-simple运行环境：双击letsencrypt.exe运行，需要.NET运行环境，点击安装即可：

   安装

2. IIS部署HTTPS站点 2.1 自动化认证单个域名：在服务器上，终端cd到letsencrypt.exe文件夹，输入以下命令：

   letsencrypt.exe --accepttos --manualhost pre.YourDomain.com --webroot D:ssl.api.MyHost.com

   使用webroot方式申请证书，Let’s Encrypt服务器会访问命令中的服务器路径，用于验证该网站是否属于你，成功后会生成临时的认证文件。

   出现如下文字说明申请成功：

   申请成功

   公钥和私钥将被存放在C:UsersAdministratorAppDataRoamingletsencrypt-win-simple下，这个路径在Nginx部署时会用到。

   如果验证不通过，可能是由于IIS需要修改配置，具体见附录-问题一。

   2.2 部署HTTPS站点：在Windows Server上增加站点：

   添加网站

3. 附录： 3.1 出现的问题一：

   问题1

   出现此错误表示生成的临时文件无法访问，验证不通过。原因是.well-known这个文件夹带有前缀. ，IIS会认为是不可识别的MIMEType，只需在网站根目录下临时添加MIMEType配置即可：

   IIS上新增MIME Type方法：

   MIME Type

   3.2 出现的问题二：

   问题2

   这是域名问题，可能是域名输入错误或设置错误，需要重新检查输入的命令。