Apache 中 SNI 怎么排查多域名配置语法错误-Apache-PHP中文网

必须先运行httpd -t验证语法，再用httpd -d dump_vhosts确认虚拟主机是否加载，最后通过openssl s_client -servername验证sni证书匹配；三步缺一不可。

apache 中 sni 多域名配置出问题，往往不是 ssl 本身失效，而是语法错误导致虚拟主机根本没加载，或证书压根没被识别。排查要从配置有效性入手，而不是直接测浏览器。

这是第一步，也是最关键的过滤动作。语法错误会让整个配置不生效，SNI 自然无从谈起：

在终端或命令行中运行 httpd -t（Windows 下用 httpd.exe -t，Linux/macOS 用 apachectl configtest）
若返回 Syntax OK，说明基础语法无硬错；若报错，会明确指出哪一行、哪个文件出问题，比如 Invalid command 'SSLCertificateChainFile'（模块未启用）或 expected （标签未闭合）
特别注意：Windows 下 phpEnv 或 XAMPP 的 Apache 若缺失 mod_ssl.so 或 OpenSSL DLL，httpd -t 可能不报错，但启动时失败——此时需配合错误日志一起看

语法正确 ≠ 虚拟主机被 Apache 识别。很多问题出在配置未被读取，或被其他配置覆盖：

Apache Superset 是一个广泛采用的开源 BI 平台，用于 SQL 探索、图表构建和仪表板交付。当代理需要查询仓库数据、组装仪表板或使用成熟的分析界面解释指标而不是临时笔记本代码时，此技能非常有用。

下载

执行 httpd -D DUMP_VHOSTS（或 apachectl -D DUMP_VHOSTS），查看所有已加载的 *:443 虚拟主机列表
检查输出中是否有你配置的每个域名，例如 site-a.test:443 和 site-b.test:443；若只看到一个或显示 _default_:443，说明你的 <virtualhost></virtualhost> 块没被加载
常见原因：配置文件未被 Include（如 httpd-vhosts.conf 没在 httpd.conf 里引入）、路径写错、或文件编码含 BOM 导致解析中断

即使虚拟主机加载了，SNI 协议层是否正常工作，还需底层验证：

用 OpenSSL 手动发起带 SNI 的 TLS 握手：
openssl s_client -connect site-a.test:443 -servername site-a.test -showcerts
观察返回的证书信息是否与 SSLCertificateFile 指向的一致；再换域名测试：
openssl s_client -connect site-a.test:443 -servername site-b.test -showcerts，应返回 site-b.test 的证书
若两次都返回同一张证书，说明 SNI 未生效——可能因 SSLStrictSNIVHostCheck on（应设为 off 并放在全局段），或 Apache 版本太低（

浏览器报“证书不匹配”，90% 是证书 SAN 字段漏了访问的域名，和配置语法无关，但常被误判为配置错误：

运行：openssl x509 -in /path/to/site-a.crt -text -noout | grep -A1 "Subject Alternative Name"
确认输出中包含 DNS:site-a.test；如果访问的是 www.site-a.test，还必须有 DNS:www.site-a.test
通配符证书 *.site-a.test 不自动包含 site-a.test，需显式加入 SAN；否则配置再正确，证书也会被浏览器拒绝