IIS配置HTTPS服务的方法

秋风舞落叶

https是什么？
! ^# m; _2 i: l* h: p4 nHTTPS（Secure Hypertext Transfer Protocol）安全超文本传输协议 .

1 u& r6 F* b& M$ F* @7 b! f$ \/ U/ G9 W它是由Netscape开发并内置于其浏览器中，用于对数据进行压缩和解压操作，并返回网络上传送回的结果。HTTPS实际上应用了Netscape的完全套接字层（SSL）作为HTTP应用层的子层。（HTTPS使用端口443，而不是象HTTP那样使用端口80来和TCP/IP进行通信。）SSL使用40 位关键字作为RC4流加密算法，这对于商业信息的加密是合适的。HTTPS和SSL支持使用X.509数字认证，如果需要的话用户可以确认发送者是谁。。

https是以安全为目标的HTTP通道，简单讲是HTTP的安全版。即HTTP下加入SSL层，https的安全基础是SSL，因此加密的详细内容请看SSL。
( p7 y- d% _8 z9 d# O% Z3 a
- C0 J! V% E8 a" ^它是一个URI scheme(抽象标识符体系)，句法类同http:体系。用于安全的HTTP数据传输。https:URL表明它使用了HTTP，但HTTPS存在不同于HTTP的默认端口及一个加密/身份验证层（在HTTP与TCP之间）。这个系统的最初研发由网景公司进行，提供了身份验证与加密通讯方法，现在它被广泛用于万维网上安全敏感的通讯，例如交易支付方面。
# w: V; p& l7 k: N4 J" N
限制
它的安全保护依赖浏览器的正确实现以及服务器软件、实际加密算法的支持.
* J9 ~9 w" q' T* B1 C/ Z- l+ c: ~
: Q# ~0 u2 v# u  J一种常见的误解是“银行用户在线使用https:就能充分彻底保障他们的银行卡号不被偷窃。”实际上，与服务器的加密连接中能保护银行卡号的部分，只有用户到服务器之间的连接及服务器自身。并不能绝对确保服务器自己是安全的，这点甚至已被攻击者利用，常见例子是模仿银行域名的钓鱼攻击。少数罕见攻击在网站传输客户数据时发生，攻击者尝试窃听数据于传输中。
; v3 U9 e7 {0 S, f+ j# Q9 \4 T" \
3 k8 [+ j2 p9 m$ \商业网站被人们期望迅速尽早引入新的特殊处理程序到金融网关，仅保留传输码(transaction number)。不过他们常常存储银行卡号在同一个数据库里。那些数据库和服务器少数情况有可能被未授权用户攻击和损害。
& R# Q* H* @% u1 T: Z

8 N. A- i1 _( c. N& WTLS 1.1之前
  e$ G3 L# z( z' i" n这段仅针对TLS 1.1之前的状况。因为SSL位于http的下一层，并不能理解更高层协议，通常SSL服务器仅能颁证给特定的IP/端口组合。这是指它经常不能在虚拟主机(基于域名)上与HTTP正常组合成HTTPS。

这一点已被更新在即将来临的TLS 1.1中—会完全支持基于域名的虚拟主机。
为 Web 服务器配置 SSL
0 s/ J2 O6 m4 g3 v要在 IIS 中启用 SSL，首先必须获得用于加密和解密通过网络传输的信息的证书。IIS 具有自己的证书请求工具，您可以使用此工具向证书颁发机构发送证书请求。此工具简化了获取证书的过程。如果您使用的是 Apache，则必须手动获取证书。
在 IIS 和 Apache 中，您都会收到来自证书颁发机构的证书文件，此文件必须配置在计算机上。Apache 使用 SSLCACertificateFile 指令读取其源文件中的证书。而在 IIS 中，您可以使用网站或文件夹属性的目录安全性选项卡来配置和管理证书。

您可以将证书从 Apache 迁移到 IIS；但是 Microsoft 建议您重新创建或获取一个新的 IIS 证书。

; ^, W. a+ D8 M( w 1. 以管理员身份登录到 Web 服务器计算机。
2. 单击开始，指向设置，然后单击控制面板。
% l% V, b3 f. {1 U: P6 `3. 双击管理工具，然后双击 Internet 服务管理器。
9 ]( E: G, r& q( q/ ^; F: q7 R* K4. 从左窗格中的不同服务站点的列表中选择网站。
+ F  \: l" [, @5 h5. 右键单击希望为其配置 SSL 通信的网站、文件夹或文件，然后单击属性。
6. 单击目录安全性选项卡。
. `$ D6 G7 Q( |$ c! J6 V) g, Z7. 单击编辑。
8. 如果希望网站、文件夹或文件要求 SSL 通信，请单击需要安全通道 (SSL)。
9. 单击需要 128 位加密以配置 128 位（而不是 40 位）加密支持。
10. 要允许用户不必提供证书就可以连接，请单击忽略客户证书。
7 }' a$ c; m- T- c9 U+ L
或者，如果要让用户提供证书，请使用接受客户证书。
11. 要配置客户端映射，请单击启用客户证书映射，然后单击编辑将客户证书映射到用户。

如果配置了此功能，可以将客户证书分别映射到 Active Directory 中的每个用户。可以使用此功能以根据用户访问网站时提供的证书自动识别用户。可以将用户一对一映射到证书（一个证书标识一个用户），或者将许多证书映射到一个用户（根据特定的规则，对照证书列表来匹配特定的用户。第一个有效的匹配项成为映射。）
12. 单击确定。


下面就要为各位读者介绍如何通过IIS证书向导配置我们需要的证书文件。
" @; e6 z. G5 \) L9 O1 S( c! t　　
. Y+ _( V4 }% I' C  }1 U* z( R! @　　第一步：通过“管理工具”中的IIS管理器启动IIS编辑器。
* L" A4 }: O/ d3 \6 B6 Q' J　　
　　第二步：在默认网站上点鼠标右键选择“属性”。（如图11）
　　 　

2 d1 y, i" d. W* t9 `* X6 E　　 图11
　　
　　第三步：在默认网站属性窗口中点“目录安全性”标签，然后在安全通信处点“服务器证书”按钮。（如图12）
　　 　
　　 图12
　　
: m* I+ Z, p  }$ j! F　　第四步：系统将自动打开WEB服务器证书向导。（如图13）
　　 　
: I. ^6 Q! |9 Y- f* i1 E　　 图13
　　
; G- {( `/ ^9 B) J' C3 u8 n　　第五步：服务器证书处选择“新建证书”，然后下一步继续。（如图14）
　　 　
5 U0 v  V. B  e: J6 u# ]　　 图14
　　
　　第六步：延迟或立即请求处选择“现在准备证书请求，但稍后发送”。（如图15）
6 P! j9 N( G: T8 R; H. B) w0 \6 |　　 　
$ P6 m' c4 @& e0 Z# |( ]+ K　　 图15
  L8 G' J$ Z/ f( V; A" L　　
　　第七步：设置证书的名称和特定位长，名称保持默认网站即可，在位长处我们通过下拉菜单选择512。（如图16）
　　 　
9 x8 k- y0 p6 `　　 图16
　　
　　小提示：位长主要用于安全加密，位长越来则越安全，不过传输效率会受到一定的影响，网站性能也受影响。一般来说选择512已经足够了。
  R3 F5 l( Y& @7 Z　　
9 Z& J6 m/ k7 F　　第八步：输入单位信息，包括单位和部门。（如图17）
9 p1 F' K1 q8 s% j- _　　 　
　　 图17
　　
: O/ K: x: D' c& J　　第九步：在站点公用名称窗口输入localhost。（如图18）
& ^/ ~6 p( C% E% Y/ r# z, Q' }7 V　　 　
　　 图18
　　
$ I& G9 z7 B) T& ?2 j　　第十步：地理信息随便填写即可。（如图19）
　　 　
　　 图19
　　
　　第十一步：设置证书请求的文件名，我们可以将其保存到桌面以便下面步骤调用方便，保存的文件名为certreq.txt。（如图20）
* y' n3 S- H: \4 \9 j( O4 m　　 　
　　 图20

! L; c- {, T; x- G6 m# F& k; y1 _( t　　第十二步：完成了IIS证书向导配置工作，并按照要求将相应的证书文件保存到桌面。（如图21）
) M: m7 L7 J% e0 Q5 N, B
9 |* Z+ W. C2 O     到里已经完成一半工作，我们还要申请数字证书，SSL数字证书是收费的，一年费用从几百到一两千不等。

秋风舞落叶

秋风舞落叶