Apache SNI多域名稳定运行的核心是：每个HTTPS域名需独占一个块，严格匹配ServerName与专属证书路径，启用mod_ssl及OpenSSL≥1.0.2，全局设置SSLStrictSNIVHostCheck off，并通过openssl s_client -servername验证证书加载是否正确。Apache 中 SNI 配置多域名要稳定运行，核心是让每个 HTTPS 域名在同一个 IP + 443 端口下，能被客户端正确识别并加载对应证书。这不是“开个开关”就能自动生效的功能，而是依赖 OpenSSL 底层支持、Apache 正确加载模块、虚拟主机精准定义和证书路径严格匹配的一整套协同机制。
确保 mod_ssl 和 OpenSSL 就绪
apache 必须启用 mod_ssl，且所用 openssl 版本 ≥ 1.0.2（推荐 1.1.1 或更高）。windows 下常见失败原因是缺失 libcrypto-1_1-x64.dll 或 libssl-1_1-x64.dll —— 启动报错 “cannot load mod_ssl.so” 就得先查这两个 dll 是否真实存在、路径是否在系统 path 中。linux 下可用 ldd /path/to/mod_ssl.so 验证依赖。
每个域名独占一个 块
不能靠 ServerAlias 把多个域名塞进同一个 HTTPS 虚拟主机，也不能复用同一组证书文件去“凑合”多个不同主域。SNI 的工作逻辑是：客户端发来 ClientHello 里的域名 → Apache 查找 ServerName 完全匹配的 <virtualhost></virtualhost> → 加载该块内指定的证书与私钥。因此：
- 为
site-a.com写一个<virtualhost></virtualhost>，ServerName site-a.com，配SSLCertificateFile指向其专属证书 - 为
site-b.net写另一个独立块，ServerName site-b.net，配它自己的证书路径 - 所有 HTTPS 虚拟主机必须共用
*:443，不能写成192.168.1.100:443或混用 IP 绑定
关闭严格 SNI 检查（关键兼容项）
Apache 默认可能开启 SSLStrictSNIVHostCheck on，这会导致不支持 SNI 的旧客户端（如 IE6/WinXP、部分嵌入式设备）直接断连。生产环境建议在 httpd.conf 全局区（不在任何 <virtualhost></virtualhost> 内）添加：
SSLStrictSNIVHostCheck off
Apache Superset 是一个广泛采用的开源 BI 平台，用于 SQL 探索、图表构建和仪表板交付。当代理需要查询仓库数据、组装仪表板或使用成熟的分析界面解释指标而不是临时笔记本代码时，此技能非常有用。
这样当客户端不带 SNI 时，Apache 会回落到第一个加载的 HTTPS 虚拟主机（即配置文件中排最前的那个），至少保证基础可访问性。
验证 SNI 是否真正生效
别只靠浏览器访问——浏览器会缓存、自动重试、甚至跳过警告。用命令行直击握手过程：
- 查
site-a.com是否返回正确证书：openssl s_client -connect site-a.com:443 -servername site-a.com -showcerts 2>/dev/null | openssl x509 -noout -subject - 换域名再查：
openssl s_client -connect site-b.net:443 -servername site-b.net -showcerts ... - 对比两次输出的
subject=CN=...是否分别匹配各自域名
同时确认本地 hosts 文件已映射测试域名到服务器 IP，排除 DNS 干扰。
