SSLEngine指令不能跨虚拟主机共享，必须在每个块内显式配置on/off；但SSLProtocol、SSLCipherSuite等指令支持全局设置并被继承。

SSLEngine 指令本身不支持跨虚拟主机共享

直接回答：你不能把 SSLEngine on 写在全局配置里，再指望它“自动生效”到所有 HTTPS 虚拟主机——SSLEngine 是每个 块的独立开关，作用域仅限于该块内部。Apache 不提供类似 SSLProtocol 那样的继承式全局 SSL 设置机制。

想统一管理 SSL 行为？用 SSLProtocol、SSLCipherSuite 等指令代替

虽然 SSLEngine 无法共享，但 mod_ssl 提供了多个可在服务器级（main config）定义、并被所有启用 SSL 的虚拟主机继承的指令：

• SSLProtocol：控制 TLS 版本（如 all -SSLv2 -SSLv3），写在 httpd.conf 或 /etc/apache2/mods-enabled/ssl.conf 顶层即可生效
• SSLCipherSuite：指定加密套件优先级，同样支持全局设置，避免每个 vhost 重复写
• SSLHonorCipherOrder on：强制服务端密码套件顺序优先，也适合全局启用
• SSLStrictSNIVHostCheck off：影响 SNI 兼容行为，全局控制更安全

这些指令在 内也可覆盖，但默认继承上级配置——这才是真正可“共享”的部分。

多个 HTTPS 虚拟主机必须各自声明 SSLEngine on + 监听 443

常见错误是只配一个 ，然后以为其他域名能复用。实际必须满足：

SSL Certificate Monitor

检查一个或多个域名的 SSL/TLS 证书到期时间、颁发者、协议及 SAN 信息，用于应要求检查证书、监控到期或验证 HTTPS 等场景。

下载

• 每个需要 HTTPS 的域名，都得有自己独立的 块（或明确 IP:443）
• 每个块内必须显式写 SSLEngine on（不能省略，也不能靠继承）
• 每个块必须配齐 SSLCertificateFile 和 SSLCertificateKeyFile（SNI 允许多证书共存于同一 IP）
• 必须确保 Listen 443 已启用，且 mod_ssl 已加载（a2enmod ssl 或 LoadModule ssl_module modules/mod_ssl.so）

漏掉任一条件，对应站点就会返回连接拒绝、空白页或 ERR_SSL_PROTOCOL_ERROR。

容易忽略的关键点：SNI 依赖客户端支持，旧环境需单独 IP

你在同一 IP 上给 example.com 和 test.org 各配一个 ，看似合理，但 Apache 实际靠 SNI 在 TLS 握手初期识别域名——这意味着：

• IE on Windows XP、Android 2.x、OpenSSL
• 此时 Apache 只能返回第一个匹配 *:443 的虚拟主机证书，导致其他域名证书不匹配（NET::ERR_CERT_COMMON_NAME_INVALID）
• 若必须兼容这类客户端，唯一办法是为每个 HTTPS 域名分配独立 IP，再绑定

这个限制和 SSLEngine 无关，但它决定了你能否真正“复用”同一个监听端口——配置再对，客户端不认也没用。