IIS的SSL证书问题确实很典型，尤其Windows服务器特有的证书存储机制容易踩坑。最常见的几类问题：首先是私钥丢失或权限错误，这几乎每周都能在技术论坛看到提问；其次是绑定冲突和端口占用，特别是80/443端口被其他进程占用时IIS会静默失败；还有证书链不完整的问题，很多管理员会忽略中间证书，下面是10个最常见的问题及其原因和解决方法：
1."指定的网络密码不正确" 或 "无法找到证书私钥"
问题现象: 在IIS管理器中尝试绑定HTTPS时提示密码错误，或者在"服务器证书"列表中选择证书时显示"此证书有一个对应的私钥..."但绑定时报错找不到私钥。
原因:
导入PFX文件时输入的密码确实错误。
证书文件损坏。
私钥未正确关联或权限不足（最常见）。当导入操作未正确完成或私钥被标记为不可导出后又尝试导入时容易发生。
证书是从另一台服务器导出的，但导出时未勾选"导出私钥"。
解决:
仔细核对导入PFX时输入的密码。
尝试重新获取/下载证书文件。
关键步骤: 使用MMC控制台（mmc.exe -> 添加/删除管理单元 -> 添加"证书" -> 选择"计算机帐户" -> 本地计算机）：
在证书(本地计算机) -> 个人 -> 证书下找到你的证书。
右键证书 -> 所有任务 -> 管理私钥。
确保运行IIS应用程序池的账户（通常是IIS AppPool\DefaultAppPool或自定义账户）或NETWORK SERVICE、IIS_IUSRS组拥有读取权限。
检查证书图标上是否有小钥匙标记，如果没有，说明私钥丢失，需要重新安装或重新申请。
如果是从另一台服务器迁移，导出时务必选择"是，导出私钥"并设置强密码。
2."此站点缺少绑定" 或 "HTTP 错误 403.4 - Forbidden" (需要SSL)
问题现象: 访问网站时浏览器提示无法建立安全连接，或明确提示站点未配置SSL绑定，或者配置了"要求SSL"后访问HTTP出现403.4错误。
原因:
未在网站的绑定中添加HTTPS绑定（类型：https, 端口：443）。
虽然添加了HTTPS绑定，但未正确选择服务器证书。
网站的"SSL设置"中勾选了"要求SSL"，但用户尝试用HTTP访问（这是配置后的正常行为，但有时是误配）。
解决:
在IIS管理器中，右键目标网站 -> 编辑绑定 -> 添加 -> 类型：https，端口：443，主机名（如果需要SNI），从下拉列表中选择正确的服务器证书 -> 确定。
确保绑定的IP地址（通常为"全部未分配"）和主机名正确。
如果确实需要强制HTTPS，这是期望行为。如果不想强制，取消勾选网站的"SSL设置"中的"要求SSL"。
3."证书链不受信任" 或 "NET::ERR_CERT_AUTHORITY_INVALID" (浏览器错误)
问题现象: 浏览器访问HTTPS站点时显示红色警告，提示证书不受信任、证书颁发机构未知或证书链不完整。
原因:
最常见： 未在服务器上安装中间证书（Intermediate CA Certificate）。服务器证书是由中间CA颁发的，而中间CA又由根CA信任。浏览器需要完整的信任链（服务器证书->中间证书->根证书）。服务器必须安装中间证书。
根证书不受客户端（浏览器/操作系统）信任（自签名证书或小众CA）。
证书已过期或尚未生效。
解决:
关键步骤： 从你的证书颁发机构（CA）获取中间证书文件（通常是.crt或.pem格式）。
在IIS服务器上，使用MMC控制台（同上）：
导入到证书(本地计算机) -> 中间证书颁发机构 -> 证书。右键"证书"文件夹 -> 所有任务 -> 导入 -> 选择中间证书文件 -> 下一步 -> 选择"将所有证书放入下列存储" -> 浏览 -> 选择"中间证书颁发机构" -> 完成。
确保服务器时间正确。
对于自签名证书，需要手动将根证书导入到客户端的"受信任的根证书颁发机构"存储中（仅限测试或内部环境）。生产环境应使用公共信任CA颁发的证书。
4.端口443被占用或未侦听
问题现象: IIS绑定HTTPS到443端口时失败，提示端口已被占用，或者绑定后访问网站超时/拒绝连接。
原因:
其他进程（如Skype、TeamViewer、另一个Web服务器如Apache/Nginx、SQL Server Reporting Services、VPN软件等）已绑定到0.0.0.0:443或特定IP的443端口。
IIS自身的HTTP.sys驱动未正确侦听443端口（配置错误或冲突）。
解决:
以管理员身份运行命令提示符：netstat -ano | findstr :443
查看哪个PID占用了443端口。
打开任务管理器，在"详细信息"选项卡中找到该PID对应的进程。如果不是IIS（通常是w3wp.exe或svchost.exe运行HTTP服务），则需停止该进程或更改其配置不使用443。
如果确认是IIS但无法访问，检查绑定配置（IP、主机名）是否正确。
使用命令 netsh http show sslcert 检查443端口的SSL证书绑定详情。如有错误绑定，可能需要用 netsh http delete sslcert ... 清除后再在IIS中重新绑定。
5.主机名不匹配 (Common Name / SAN 不匹配)
问题现象: 浏览器提示"此服务器无法证明它是www.yourdomain.com；其安全证书来自othername.com"或"NET::ERR_CERT_COMMON_NAME_INVALID"。
原因:
服务器证书的"使用者公用名(CN)"或"使用者可选名称(SAN)"列表中没有包含用户访问网站时使用的确切域名（例如，用户访问www.domain.com，但证书只包含domain.com）。
在IIS绑定中指定了主机名，但用户使用了不同的主机名访问（如通过IP访问）。
解决:
确保证书是为访问网站时使用的精确域名（包括www前缀与否）签发的。检查证书的CN和SAN扩展。
在IIS的HTTPS绑定中，明确设置"主机名"字段为证书支持的域名（如果服务器托管多个HTTPS站点）。
如果用户必须通过IP访问，证书的SAN中需要包含该服务器的公网IP地址（极少见且不推荐，通常用域名访问）。
重新申请包含正确域名的证书。
6.证书未出现在IIS的"服务器证书"列表中
问题现象: 导入PFX证书后，在IIS管理器 -> 服务器节点 -> "服务器证书"功能视图中找不到该证书。
原因:
证书被导入到了错误的证书存储（如"当前用户-个人"而不是"本地计算机-个人"）。
导入过程中出错。
解决:
关键步骤： 使用MMC控制台（如前所述，加载计算机账户证书），检查个人存储区是否有该证书。
如果没有，在MMC中手动导入：
右键证书(本地计算机) -> 个人 -> 证书文件夹 -> 所有任务 -> 导入 -> 选择PFX文件 -> 输入密码 -> 选择"本地计算机" -> 选择"将所有证书放入下列存储：个人" -> 完成。
确保导入时选择了"本地计算机"存储位置。
7."无法分配请求的地址" (绑定到特定IP时)
问题现象: 在IIS中添加HTTPS绑定时，选择了一个特定的IP地址后点击确定，提示"无法分配请求的地址"。
原因:
选择的IP地址不是该服务器网络接口上实际配置的IP地址。
该IP地址已被其他绑定独占使用（虽然HTTP.sys允许多绑定共享IP+Port，但特定配置冲突可能导致此问题）。
解决:
检查服务器的网络配置（ipconfig /all），确认可用的IP地址列表。
在IIS绑定中，尝试使用"全部未分配"（推荐，除非有特定需求）。
如果必须绑定到特定IP，确保该IP确实是服务器拥有的一个IP。
8.应用程序池账户权限问题
问题现象: 网站本身可以访问（HTTP可能正常），但HTTPS请求返回503错误或其他内部服务器错误，事件查看器中可能有涉及密码或私钥的ASP.NET/CryptoAPI错误。
原因: 运行网站应用程序池的账户（如ApplicationPoolIdentity, NETWORK SERVICE, 自定义账户）对证书的私钥没有读取权限。
解决:
解决方法同问题1。
在MMC中定位到SSL证书（个人存储），右键证书 -> 所有任务 -> 管理私钥。
添加应用程序池使用的账户（如IIS AppPool\YourAppPoolName）或NETWORK SERVICE / IIS_IUSRS组，并赋予读取权限。
9.使用自签名证书或不受信任的根
问题现象: 浏览器警告"此网站的安全证书有问题"、"您与该网站建立的连接不安全"，明确提示自签名证书或根不受信任。
原因: 使用了IIS自己生成或手动创建的自签名证书，或者使用了由非公共信任的根CA（如企业私有CA）颁发的证书，但客户端未安装信任该根CA。
解决:
生产环境/公共网站： 购买并安装由公共信任的CA（如Sectigo, DigiCert, Let's Encrypt等）颁发的证书。
内部/测试环境：
接受浏览器的警告（不推荐，不安全且训练用户忽略警告）。
将自签名证书或私有CA的根证书导出为.cer文件，手动导入到需要访问该站点的所有客户端计算机的"受信任的根证书颁发机构"存储区（通过MMC或双击安装）。
10.SNI (Server Name Indication) 相关问题
问题现象:
较旧的客户端（如Windows XP上的IE, Android 2.x, Java 6等）无法访问使用SNI的HTTPS网站。
在绑定多个HTTPS站点到同一IP的443端口时，某个站点的证书被错误地用于另一个站点（主机名不匹配错误）。
原因:
SNI是TLS的扩展，允许服务器在同一个IP和端口上使用不同的证书服务多个域名。不支持SNI的古老客户端无法连接到配置了SNI的站点。
IIS绑定配置错误：未在HTTPS绑定中正确设置"主机名"字段。
没有为默认的、不带主机名的443绑定设置一个"兜底"证书（通常不推荐）。
解决:
兼容性： 如果必须支持非常古老的客户端，需要为每个需要支持老客户端的HTTPS站点分配独立的IP地址，并在绑定中不设置主机名（仅IP+443+证书）。这违背了SNI的初衷。
正确配置SNI： 在IIS中，为托管在同一IP:443上的每个网站，在其HTTPS绑定中明确设置"主机名" 为对应的域名（如www.site1.com, www.site2.com）。每个绑定关联其自己域名的证书。
避免兜底绑定： 尽量避免在443端口上配置一个没有主机名绑定的网站（除非有特定需求），这可能导致不支持SNI的客户端连接到错误的站点。
安装后应注意事项：
测试： 使用在线工具（如 https://www.ssllabs.com/ssltest/）全面测试服务器SSL配置、证书链、协议、加密套件等。
重定向： 配置HTTP（80端口）到HTTPS（443端口）的永久重定向（301），强制用户使用安全连接。可在IIS中使用URL重写模块实现。
HSTS： 考虑启用HTTP Strict Transport Security (HSTS) 头，指示浏览器以后只通过HTTPS访问该站点。
以上就是IIS服务器在部署SSL证书时遇到的问题及解决方法，因此用户在遇到问题时，务必检查Windows事件查看器（Windows Logs -> Application and System） 和 IIS日志，通常会有更具体的错误信息记录。
