Apache 中 SNI 怎么解决多域名客户端报错中断-Apache-PHP中文网

apache中sni解决多域名客户端报错中断的核心是tls握手初期通过clienthello明文携带域名，使服务器精准匹配虚拟主机并加载对应证书；需满足mod_ssl启用、openssl≥1.0.2、客户端支持sni、每个独立配置sslengine及证书路径，并确保servername唯一、listen 443存在、无兜底配置冲突。

apache 中 sni 解决多域名客户端报错中断，核心是让 tls 握手阶段能准确识别目标域名，并加载对应证书。一旦失败，客户端（如浏览器、java httpclient、curl）常报 ssl 错误、证书不匹配、连接重置或 handshake_failure，本质是服务器返回了错误证书或根本没返回证书。

SNI 生效的前提必须全部满足

Apache 加载了 mod_ssl 模块（运行 httpd -M | grep ssl 或 a2enmod ssl 确认）
使用的 OpenSSL 版本 ≥ 1.0.2（推荐 1.1.1 或更高），旧版本（如 0.9.8）虽支持基础 SNI，但 TLS 1.2/1.3 和回调稳定性差
客户端明确支持 SNI：现代浏览器、Java 7u25+ 的 HttpsURLConnection、HttpClient 4.3+、curl 7.18.1+ 均默认开启；IE6/WinXP、Android 4.4 以下 WebView 等不支持，会回退到首个虚拟主机证书，引发错配

每个 HTTPS 虚拟主机必须独立完整配置

不能在全局或 <virtualhost></virtualhost> 外设置 SSLCertificateFile，否则会被继承覆盖。每个 <virtualhost></virtualhost> 块内必须显式声明：

SSLEngine on
ServerName example.com（唯一主域名，不可多个）
ServerAlias www.example.com blog.example.com（辅助域名，空格分隔）
SSLCertificateFile /path/to/cert.pem（含完整证书链，或配合 SSLCertificateChainFile）
SSLCertificateKeyFile /path/to/privkey.pem
<directory></directory> 权限段确保可访问

示例：

<virtualhost>
    ServerName api.example.com
    ServerAlias www.api.example.com
    DocumentRoot "/var/www/api"
    SSLEngine on
    SSLCertificateFile "/etc/ssl/api.crt"
    SSLCertificateKeyFile "/etc/ssl/api.key"
    SSLCertificateChainFile "/etc/ssl/api.chain"
</virtualhost>

避免虚拟主机匹配冲突

必须存在 Listen 443（检查 httpd.conf 或 ports.conf）
所有 <virtualhost></virtualhost> 块按文件顺序加载，Apache 用第一个完全匹配 ServerName 或 ServerAlias 的块响应请求
删除或注释掉 <virtualhost _default_:443></virtualhost> 类的兜底配置，否则未匹配域名会落到它身上，返回错误证书
运行 apachectl -t -D DUMP_VHOSTS 查看实际生效的虚拟主机列表和匹配顺序

验证 SNI 是否真正起作用

本地 hosts 添加测试域名映射（如 127.0.0.1 site-a.test）

Apache Superset Dashboard and SQL Exploration Skill
Apache Superset 是一个广泛采用的开源 BI 平台，用于 SQL 探索、图表构建和仪表板交付。当代理需要查询仓库数据、组装仪表板或使用成熟的分析界面解释指标而不是临时笔记本代码时，此技能非常有用。

下载
用 OpenSSL 手动触发带 SNI 的握手：
```
openssl s_client -connect site-a.test:443 -servername site-a.test -showcerts
```
观察返回的证书 Subject 和 SAN 是否与 site-a.test 一致；若返回的是其他域名证书，说明 SNI 未命中或配置错位
检查 Apache error log，开启 LogLevel info 后搜索 VHOST，能看到每次请求匹配到哪个 ServerName 或 ServerAlias