apache反向代理https后端握手失败的根本原因是代理层未传递tls协商必需信息，核心是sni缺失（需sslproxyengine on + sslproxyservername带引号域名）、proxypass必须用域名而非ip、wss需透传upgrade/connection头，以及证书校验配置不全。
apache mod_proxy 代理 https 后端时出现 ssl 握手失败，根本原因不是证书错误，而是代理层没把 tls 协商必需的信息传给上游服务。重点在 sni 缺失、协议头被剥离、证书校验配置不当这三类问题。
必须启用 SSL 代理并显式指定 SNI
Apache 默认不会在反向代理连接中发送 SNI 扩展，即使 ProxyPass 写的是域名。后端（如 Nginx、Istio、云网关）依赖 SNI 选择证书，SNI 为空就会直接拒绝握手。
- 确认已启用模块：
a2enmod ssl proxy_http - 在
<virtualhost></virtualhost>或<location></location>块中添加：SSLProxyEngine on - 强制设置 SNI 域名（带英文双引号）：
SSLProxyServerName "api.example.com" - 禁用不必要校验（仅限测试或内网）：
SSLProxyVerify none<br>SSLProxyCheckPeerCN off<br>SSLProxyCheckPeerName off
ProxyPass 必须用域名，不能写 IP
如果写成 ProxyPass / https://10.10.20.30:443/，Apache 就无法推导出该发哪个 SNI，SNI 字段始终为空，握手必败。
CPA Update - Secure CLI Proxy API Maintenance
下载
安全更新和维护 CLI Proxy API（CPA）部署与配置。用于 CPA 镜像升级、配置变更、认证目录兼容修复、上线验证与回滚。适用于用户提到“CPA 更新/升级/配置改了/容器重建/回滚”等场景。
- 改为使用可解析的域名：
ProxyPass / https://api.example.com:443/ - 若后端实际走内网 IP（如
192.168.1.100），仍要配合SSLProxyServerName "api.example.com"——域名用于 SNI，IP 用于寻址 - 确保该域名能在 Apache 主机上 DNS 解析成功，内网建议加到
/etc/hosts
WSS 或升级型协议需透传关键头
WebSocket（WSS）握手本质是 HTTP Upgrade 请求。Apache 默认会剥离 Upgrade、Connection 和 Sec-WebSocket-* 头，导致后端收不到升级指令，返回 200 而非 101。
- 开启头透传：
ProxyPreserveHost on - 显式设置 Host 头：
RequestHeader set Host "api.example.com" - 强制转发升级相关头：
Header always set Connection "upgrade"<br>Header always set Upgrade "websocket"
后端证书校验要配全链条
若启用 SSLProxyVerify require，只开校验还不行，必须让 Apache 知道信任谁。
- 指定可信 CA 证书路径：
SSLProxyCACertificateFile /path/to/ca-bundle.crt
（公共证书如 Let’s Encrypt 可省略；私有 CA 或自签名必须提供） - 校验域名合法性：
SSLProxyCheckPeerName on（优先匹配 SAN 字段） - 调整证书链深度（如三级私有 CA）：
SSLProxyVerifyDepth 3 - 确保 Apache 进程用户（如 www-data）有读取证书文件的权限
