如何配置 proxy_ssl_server_name 解决反代多域名 HTTPS 时的 SNI 握手失败-Nginx-PHP中文网

必须启用 proxy_ssl_server_name on 并配对 proxy_ssl_name $host;，确保 sni 与 host 头一致；proxy_pass 必须用域名而非 ip；cdn 场景下改用 $http_x_forwarded_host。

如何配置 proxy_ssl_server_name 解决反代多域名 https 时的 sni 握手失败

要让 Nginx 在反向代理多个 HTTPS 域名时不出 SNI 握手失败（比如 502、证书不匹配、SSL_do_handshake() failed），关键不是只打开 proxy_ssl_server_name on，而是让它和 proxy_ssl_name 协同工作，把客户端真实请求的域名准确传给后端。

必须启用 proxy_ssl_server_name 并配对 proxy_ssl_name

默认情况下，Nginx 和 HTTPS 后端建连时不发送 SNI 字段。即使 proxy_pass 指向的是 HTTPS 地址，后端若托管多个域名（如 tenant-a.app.com、api.b2b-saas.com），就无法选出对应证书，直接握手失败。

proxy_ssl_server_name on; 是开关，必须显式写在 location 块中
仅开这个不够——它只决定“是否发”，不决定“发什么”
proxy_ssl_name $host; 才是真正指定 SNI 值：取自请求 Host 头，已小写、去端口，最可靠
避免写死 proxy_ssl_name "api.example.com";，除非所有流量都固定指向同一域名

Host 请求头必须与 SNI 严格一致

SNI 是 TLS 层标识，Host 是 HTTP 层标识。很多后端（如 Istio、ALB、云 API 网关）会同时校验两者。不一致时可能返回 403、404 或静默丢弃请求。

CPA Update - Secure CLI Proxy API Maintenance

安全更新和维护 CLI Proxy API（CPA）部署与配置。用于 CPA 镜像升级、配置变更、认证目录兼容修复、上线验证与回滚。适用于用户提到“CPA 更新/升级/配置改了/容器重建/回滚”等场景。

下载

加一句 proxy_set_header Host $host;，确保 HTTP 层也用相同域名
不要混用：proxy_ssl_name $host; 却配 proxy_set_header Host $http_host;（后者可能带 :443）
若需透传原始上下文，可额外加 proxy_set_header X-Forwarded-Host $host;

proxy_pass 必须用域名，不能用 IP

如果写成 proxy_pass https://10.10.20.30/;，哪怕其他配置全对，Nginx 仍会把该 IP 当作 SNI 发送——而绝大多数多域名后端不接受 IP 作为 SNI 值，握手必败。

正确写法：proxy_pass https://api.example.com/;（结尾斜杠建议保留，影响路径拼接）
用了 upstream 也不行：upstream 块里可写 server api.example.com:443;，但 proxy_ssl_name 仍需在 location 中显式设为字符串或变量
禁止在 proxy_pass 中使用变量（如 https://$host/），Nginx 不支持 SSL SNI 解析变量

应对 CDN 或网关改写 Host 的情况

阿里云全站加速、Cloudflare 等常把回源 Host 改为源站别名（如 origin.prod.app.com），导致 $host 失真，SNI 错配。

在 CDN 控制台开启“透传原始 Host”，通常会注入 X-Forwarded-Host 请求头
Nginx 中改用：proxy_ssl_name $http_x_forwarded_host;
同时加：proxy_set_header X-Forwarded-Host $host;，方便下游识别租户
若需更灵活映射（如按不同 $host 分发到不同后端域名），可用 map 提前定义：
```
map $host $backend_sni {
  hostnames;
  app-a.com "api.a.com";
  app-b.com "api.b.com";
  default "default.api.com";
}
```
然后在 location 中写 proxy_ssl_name $backend_sni;