IIS 使用旧 SSL 而不是新 SSL

Question

5月30日，Sectigo ROOT证书已过期。我们已将 ROOT 证书更改为有效的证书并生成了 new.pfx。然后我们在 IIS 中更新了它（版本 7.5，在 Windows Server 2008 下运行）。虽然 IIS 服务器中的证书正确显示链，但浏览器中的链不正确。此外，当对 url 使用在线 SSL 检查器时，它会显示旧的 ROOT（过期的 ROOT），而不是更新的新 ROOT。我们做了以下工作，

1. 使用更新后的有效 CA ROOT 证书生成 new.pfx。
2. 从 IIS 的“服务器证书”中删除了证书。
3. 停止网站和 IIS 服务器。
4. 使用 MMC 从 Windows 中删除旧证书。
5. 重新启动 Windows Server。
6. 从资源管理器安装了 new.pfx。
7. 使用 MMC 将 new.pfx 添加到 Windows。
8. 在 IIS 的“服务器证书”中添加了新证书。
9. 在网站绑定中使用新证书。
10. 重新启动 Windows 服务器。

然而，即使完成了上述所有操作，当我们在浏览器中加载网站并检查证书ROOT时，它显示的是旧ROOT，而不是新的。另外，使用SSL检查器验证证书，它说ROOT证书已过期（旧证书），而不是新证书。

我不确定这里缺少什么，任何帮助将不胜感激。

谢谢

Answer 1

为了检查证书是否已绑定到特定端口，请在windows server2008的命令提示符下输入

Netsh HTTP

命令。

Netsh http show sslcert |findstr 80

https://learn.microsoft.com/en-us/windows/win32/http/show-sslcert
此外，您也可以使用

Netsh Http add sslcert

命令配置具有特定 SSL 证书的端口。

netsh http add sslcert ipport=0.0.0.0:8000 certhash=0000000000003ed9cd0c315bbb6dc1c08da5e6 appid={00112233-4455-6677-8899-AABBCCDDEEFF}

如果有什么需要我帮忙的，请随时告诉我。