为不支持 SNI 的客户端浏览器解析多对一 SSL IP

Question

哇哦，缩写词 :) 因此根据这个问题只要您的服务器支持 TLS（Apache 2.2x 支持），您就可以在一个 IP 地址上拥有多个 SSL 子域。

这个问题的另一个答案指出，客户端浏览器必须具有SNI 支持运行，而 Windows XP 上的 IE 却没有此功能。因此，使用该浏览器的用户将收到一条警告消息，提示 SSL 证书与域不匹配。

对于那些不支持 SNI 的客户端浏览器，是否可以解决这个问题？通配符（用于子域名）能解决问题吗？还有其他（更便宜的）选择吗？

Answer 1

不支持 SNI 的客户端将获得 Apache 在该端口上加载的第一个证书。

因此，通配符证书不会依赖客户端的服务器名称指示支持。如果您的资源都有一个共同的父域，这可能是可行的方法。另一种选择（没有共同的父域）是使用提供主题备用名称的证书。

两者都很昂贵；备用名称证书稍微便宜一些（但限制了您可以覆盖的站点数量，并且当这些站点发生变化时需要重新颁发）。