如何确定SSL证书的提供地点？

我有这个问题中描述的相同的问题： IIS 7仍旧服务旧的SSL证书

我已经用新的SSL证书replace旧的证书，并从服务器上完全删除旧的证书。

上面的海报解决了他的问题，当他意识到在他的Web服务器和Internet之间有一个ISA服务器时，他从ISAcaching中清除了旧的证书，问题就解决了。

我在其他地方看到了相同的解决scheme： http : //forums.iis.net/t/1182296.aspx

不幸的是我无法向我的ISPcertificate这个问题不在我的服务器上，而是他们在基础设施中的某个地方caching旧的证书。

我99.999％肯定证书安装和绑定在IIS上是正确的 ：

我已经为不同备用端口9443和8443的站点configuration了2个绑定。
旧的证书以前绑定到端口9443上的站点，两个绑定现在使用新的证书
我configuration了etc / hosts文件，将绑定域指向127.0.0.1，所以当我打开一个浏览器到域时，请求都是本地的
如果我从另一台机器（即通过networking）访问这2个URL，我将得到9443端口的旧证书和8443端口的新证书
如果我从Web服务器上的浏览器访问这两个URL，我将在两个端口上获得新的证书

我99.999％肯定证书没有在客户端caching ：

我已经从PC和移动设备上的多个浏览器访问过该网站
我通过多个连接点击了该站点，包括我的公司LAN，家庭DSL和移动设备

我的下一步是做一些TLS会话build立的跟踪路由，以确定旧证书的提供位置，这样我就可以向ISPcertificate这是他们需要解决的问题。

这是可能的，有什么工具可用于此？

我不认为你的ISP在这方面caching任何东西，这是因为：

要用您的指纹来提供您的证书，他们需要访问您的私钥
ISP通常不cachingSSLstream量
特别是ISP不会在非标准端口上cachingSSLstream量

所以这似乎是你自己的服务器的问题。尝试重新启动它，尝试tracerouting它，尝试从@ MadHatter的意见： echo ""|openssl s_client -connect 127.0.0.1:9443 |openssl x509 -text -noout|&grep depth=0

此外，如果您使用SNI或类似的东西，请确保IIS中的默认非SNI网站具有正确的证书绑定，因为它至less用于非SNI客户端，并且在他们不匹配时看到问题那里不应该有问题。