官方頒發的SSL認證與自我簽署憑證結合實現網站雙向認證

這是一個非常有趣的實驗。

大家已經知道，一些SSL憑證授權單位頒發的認證，只是裝在伺服器端，讓訪問者通過SSL連結訪問網站，並且可以向訪問者證實網站的真真實位址。但是，如果要限制網站的訪問者，也就需要驗證用戶端所擁有的認證，這樣才能建立安全連結。而機構在頒發SSL認證的時候，並沒有配套的用戶端認證，因此無法在用戶端安裝，也就無法開啟對用戶端的認證了。

AD CS的認證服務可以頒發伺服器端SSL認證，也可以頒發用戶端認證（見前文），但是AD CS頒發的伺服器端SSL認證只能綁定一個網域名稱，即 WWW.abc.com 或者abc.com。綁定其中一個網域名稱，用另外一個網域名稱訪問時，就提示認證有問題，不是授權給這個網域名稱的，有點不爽。

今天突發奇想，能不能將第三方認證機構頒發的SSL認證與AD CS頒發的認證結合在一起使用，實現雙向認證呢。開始實驗。

在伺服器端先布置第三方機構頒發的SSL認證。將認證匯入伺服器憑證個人下面。然後將認證匯入用戶端電腦認證管理“受信任的認證”。通過IIS設定，網站需要SSL連結，並且選擇不需要用戶端認證。這種設定下，用戶端用http訪問會提示403錯誤，用https訪問時，會建立安全連結，點擊“鎖”的圖形後，會顯示認證的詳細資料。說明SSl認證配置成功。

接下來在伺服器端將IIS重新設定，需要SSL連結，同時需要用戶端認證。現在用https訪問時，因為沒有認證，就不能訪問了。提示需要用安全性憑證訪問。

現在，在伺服器端訪問認證申請的頁面，一般為 localhost/certsrv，申請用戶端認證，申請成功後，到入伺服器瀏覽器，再從伺服器瀏覽器匯出，複製到用戶端電腦案頭上。

下一步是：在用戶端，將用戶端認證匯入到認證的個人下。有時需要手工匯入到瀏覽器中；在伺服器端，將用戶端認證匯入到“受信的認證”中去。

OK。現在在用戶端訪問，用https訪問，頁面出現讓使用者選擇認證，選擇認證後，確認，雙向連結就建立了，可以正常訪問網站。

另外，如果沒有彈出認證選擇的頁面，可能是之前訪問過，或者曾經拒絕過選用認證，下次訪問可能就沒有認證訪問的彈出框，可以清除瀏覽器緩衝後重新輸入地址訪問。

一個技巧：如果用戶端用http訪問，而IIS設定一定要用SSL訪問，通常就出現一個403頁面，現在，可以通過修改403頁面，讓網址自動跳轉到https訪問，顯得更為友好。相關設定方法百度一下就有。

一個小時的實驗成功。心滿意足，喝杯茶去。然後寫老師布置的作業。