IIS不发送中间SSL证书

我在Windows Server 2012 / IIS 8.5上安装了Comodo证书。对于大多数客户来说，这个证书可以顺利运行，但是在MacOS Sierra上运行Chrome浏览器和Chrome浏览器的旧版Android单元无法正确访问站点，因为该站点被标记为不受信任。

从SSL实验室运行SSLtesting时，我得到以下结果：

基本上有两个authenticationpath，其中一个需要额外的下载。

证书供应商提供的唯一解决scheme是禁用“COMODO RSA证书颁发机构”的所有用途，但这只能在受信任的根证书列表的下一次更新之前运行，并且每次都需要重新启动。

我应该从另一个供应商那里获得证书（看起来更容易吗？）还是可以从颁发的证书中提取零件并重build适当的连锁？

证书没有错，它有多个链来支持过时的浏览器。（这与其他CA也是相同的）您只需下载缺失的中间服务器并将其添加到服务器上的证书存储中，并将其用于这些令人讨厌的客户端。

https://community.qualys.com/thread/12831

我注意到链中有一个SHA1证书。如果您使用Firefoxtesting您的网站，则可能会遇到同样的问题。它可能会看到SHA1更老，不可信。 https://blog.mozilla.org/security/2014/09/23/phasing-out-certificates-with-sha-1-based-signature-algorithms/也https://support.mozilla.org/en-US / kb / secure-website-certificate可能会有所帮助。 SHA1正在被淘汰，可能会导致您的问题。

我今天在WS2012R2 IIS8.5上发生了一个类似的问题，这个问题在使用Salt自动化从头开始部署的80个Windows虚拟机中的9个虚拟机上。我通过进入IISpipe理器来修复它，select网站左上angular的“编辑绑定…”。 select证书，select编辑。做一些改变，点击确定。再次点击`编辑绑定…'并撤消更改，然后再次单击确定。这为我解决了这个问题。通过运行“openssl s_client -connect：443”显示失败在第一组输出行中，如果问题存在，您将看到openssl'20'，'21'和'27'错误，否则您会看到正确的cert链。