为不支持 SNI 的客户端浏览器解析多 SSL 对一 IP

Question

哇，首字母缩略词 :) 所以根据这个问题，只要您的服务器支持 TLS（Apache 2.2x 支持），您就可以在一个 IP 地址上拥有多个 SSL 子域。

该问题的另一个答案指出客户端浏览器必须具有SNI 支持才能工作，而 IE 在 Windows XP 上没有。因此，使用该浏览器的人会出现一条警告消息，指出 SSL 证书与域不匹配。

可以为那些没有 SNI 支持的客户端浏览器解决这个问题吗？通配符（用于子域）可以解决问题吗？还有其他（更便宜的）选择吗？

Answer 1

不支持 SNI 的客户端将获得 Apache 在该端口上加载的第一个证书。

因此，是的，通配符证书将不依赖于客户端服务器名称指示支持。如果您的资源都有一个共同的父域，这可能是要走的路。另一种选择（没有共同的父域）是使用提供主题备用名称的证书。

两者都很贵；备用名称证书要便宜一些（但限制了您可以覆盖的站点数量，并且需要在这些站点更改时重新颁发）。