apache sni多域名握手失败核心是客户端sni域名未被正确识别或匹配，需查error_log中“client sent server name”“unable to find named virtual host”等关键词，确认sni值、虚拟主机绑定、证书san及sslengine启用状态。
apache 中 sni 多域名握手失败，核心是客户端发来的 sni 域名没被正确识别或匹配，导致服务端加载了错误证书、甚至拒绝握手。排查不能只看“ssl handshake failed”，而要聚焦日志中与 sni 直接相关的线索。
查错误日志里的 SNI 关键词
打开 Apache error_log（如 /var/log/apache2/error.log），搜索以下字段：
-
SSL client certificate not accepted 或 no SSL certificate for host：说明 SNI 域名未命中任何
<virtualhost></virtualhost>配置 -
client sent server name：OpenSSL 调试日志中会明确打印客户端传来的 SNI 值，确认是否是你预期的域名（如
api.example.com） -
unable to find named virtual host：SNI 域名存在，但 Apache 没找到对应
ServerName或ServerAlias匹配的虚拟主机 -
SSLCertificateFile not configured for this virtual host：该
<virtualhost></virtualhost>块缺失证书配置，即使 SNI 匹配成功也无法完成握手
确认 SNI 是否真正启用
Apache 必须满足三个前提才能响应 SNI 请求：
- 使用支持 SNI 的 OpenSSL 版本（≥0.9.8f，现代系统基本都满足）
- 在
<virtualhost></virtualhost>块中显式启用SSLEngine on - 监听语句包含
Listen 443，且无其他同 IP:Port 的非 SNI 兼容配置冲突（例如老式 SSL 虚拟主机未设ServerName）
运行 apache2ctl -M | grep ssl 确认 ssl_module 已加载；用 openssl s_client -connect example.com:443 -servername example.com -tlsextdebug 2>&1 | grep "server name" 可验证客户端是否发出、服务端是否接收 SNI。
Apache Superset Dashboard and SQL Exploration Skill
下载
Apache Superset 是一个广泛采用的开源 BI 平台，用于 SQL 探索、图表构建和仪表板交付。当代理需要查询仓库数据、组装仪表板或使用成熟的分析界面解释指标而不是临时笔记本代码时，此技能非常有用。
检查虚拟主机配置是否绑定正确
每个 HTTPS 域名必须有独立的 <virtualhost></virtualhost> 块，并确保：
-
ServerName与客户端请求的 SNI 域名完全一致（不带端口、小写） -
ServerAlias覆盖所有合法别名（如www.example.com） -
SSLCertificateFile和SSLCertificateKeyFile指向该域名专用证书和私钥 - 证书的 Subject Alternative Name（SAN）包含该
ServerName，否则部分客户端会拒绝信任
开启调试日志定位握手细节
临时提升日志级别获取更细粒度信息：
- 在主配置或虚拟主机中添加：
LogLevel ssl:debug - 重启 Apache 后复现问题，观察 error_log 中 Client Hello 的协议版本、支持密码套件、SNI 域名等原始数据
- 重点关注 “Initiating TLS handshake”、“found vhost matching servername”、“loading certificate for…” 等行，判断 SNI 解析与虚拟主机匹配是否发生
