启用proxy_ssl_server_name on并设proxy_ssl_name $host可解决Nginx代理CDN时因SNI不匹配导致的TLS握手失败；若CDN改写Host头，需改用$http_x_forwarded_host并透传该头。
要解决 Nginx 代理请求到后端 CDN 节点时发生的 TLS 握手失败（如 502、SSL_do_handshake() failed 或证书不匹配），核心是让 Nginx 在与 CDN 节点建立 HTTPS 连接时，正确发送客户端原始请求的域名作为 SNI 值——这正是 proxy_ssl_name 的作用。
为什么 CDN 回源会因 SNI 失败？
CDN 节点通常为不同客户域名配置独立证书（如 shop-a.com、blog.b.com），依赖 TLS 的 SNI 字段选择对应证书。但 Nginx 默认用 proxy_pass 中写的地址（比如 https://10.0.0.100 或 https://cdn-gateway.internal）作为 SNI，而非用户真实请求的 Host。结果 CDN 收不到正确域名，无法返回匹配证书，直接中断握手。
必须开启并动态设置 proxy_ssl_name
仅开启 proxy_ssl_server_name on 不够，SNI 内容必须与原始请求一致：
- 在
location块中启用：proxy_ssl_server_name on; - 显式指定 SNI 值：
proxy_ssl_name $host;（推荐，已标准化、不含端口、小写） - 同时透传 Host 头：
proxy_set_header Host $host;，保持前后端上下文一致
应对 CDN 强制改写 Host 头的情况
多数 CDN（如 Cloudflare、阿里云全站加速）回源时会覆盖 Host 头为源站域名，导致 $host 变成源站名而非用户原始域名，SNI 错配：
- 在 CDN 控制台开启「透传原始 Host」，通常表现为传递
X-Forwarded-Host头 - Nginx 中改用：
proxy_ssl_name $http_x_forwarded_host; - 补上透传头：
proxy_set_header X-Forwarded-Host $host;，方便下游识别
验证 SNI 是否真正发出
配置写对 ≠ 生效，需确认 TLS 握手阶段实际发出的 SNI 值：
- 在 CDN 后端或上游测试服务上开启 debug 日志：
error_log /var/log/nginx/error.log debug; - 触发一次请求后，搜索日志中
client sent server name或SSL_do_handshake相关行 - 也可用命令模拟：
openssl s_client -connect cdn-node-ip:443 -servername shop-a.com，观察返回证书是否匹配该域名
