怎么在Apache虚拟主机中配置ServerPath支持不支持SNI的老旧客户端-Apache-PHP中文网

Apache应对不支持SNI的老旧客户端，核心是配置SSLStrictSNIVHostCheck off以启用fallback行为，让无SNI请求由首个HTTPS虚拟主机响应，并确保其证书覆盖所需域名；ServerPath早已弃用，与SNI无关。

apache 的 serverpath 指令并不用于支持不支持 sni 的老旧客户端，它早已被弃用且与 sni 兼容性问题无关。这是一个常见误解。

真正用来应对 IE6/WinXP、Android 2.x 等不支持 SNI 的旧客户端的机制，是 Apache 的 SNI fallback 行为控制，核心在于 SSLStrictSNIVHostCheck 指令，而非 ServerPath。

ServerPath 是什么？为什么不用它

ServerPath 是 Apache 2.0 时代为“基于路径的虚拟主机”设计的实验性指令（如 http://example.com/site-a/），仅适用于 HTTP（非 HTTPS）；
它在 Apache 2.4 中已被完全移除，文档明确标注为 deprecated；
它不参与 TLS 握手，对证书选择、域名匹配、SNI 处理毫无作用；
试图用它解决 HTTPS 下的旧客户端访问问题，属于方向错误。

如何实际支持不支持 SNI 的客户端

老旧客户端（如 IE6 on Windows XP）在发起 HTTPS 连接时不会发送 SNI 扩展，服务器无法得知目标域名，只能返回“第一个加载的虚拟主机”的证书——这往往导致证书不匹配（ERR_SSL_UNRECOGNIZED_NAME_ALERT 或类似错误）。

Apache 提供了以下标准方式应对：

启用 fallback 行为：
在全局 SSL 配置中（如 /etc/apache2/mods-enabled/ssl.conf 或 httpd.conf 的块内）添加：
```
SSLStrictSNIVHostCheck off
```
- 设为 off（默认值，2.2.12+ 起即如此）表示：当客户端无 SNI 时，Apache 将使用按配置文件顺序第一个定义的 :443 虚拟主机的证书响应；
- 此时客户端能建立连接，但浏览器会提示“证书名称不匹配”（因证书 SAN 不含其访问的域名），内容仍可加载（取决于浏览器策略）；
- 若你希望所有旧客户端都落到某个“兜底站点”（如维护页或统一入口），就把那个放在配置文件最前面。
确保该 fallback 虚拟主机证书覆盖常用域名：
- 使用通配符证书（如 *.example.com）或含多个 SAN 的证书；
- 或直接用 Let’s Encrypt 的多域名证书（-d site-a.com -d site-b.com -d legacy.example.com）；
- 避免让 fallback 站点返回自签名或过期证书。
不推荐的做法（但有人误用）：

Apache Superset Dashboard and SQL Exploration Skill
Apache Superset 是一个广泛采用的开源 BI 平台，用于 SQL 探索、图表构建和仪表板交付。当代理需要查询仓库数据、组装仪表板或使用成熟的分析界面解释指标而不是临时笔记本代码时，此技能非常有用。

下载
- 为每个域名单独分配 IP + 443 端口（绕过 SNI）→ 成本高、IP 紧张、运维复杂；
- 强制 SSLStrictSNIVHostCheck on → 旧客户端直接连接失败，无降级可能。

验证是否生效

不要依赖浏览器测试（缓存、HSTS、自动跳转干扰大），改用 openssl s_client：

# 模拟无 SNI 的 TLS 握手（关键：不加 -servername）
openssl s_client -connect your-server-ip:443 -tls1_2

# 查看返回的证书 CN 和 SAN，确认是否为你设定的 fallback 站点证书

若输出中 subject= 和 X509v3 Subject Alternative Name: 匹配你的兜底站点，说明 fallback 已生效。

不复杂但容易忽略。