apache多域名sni正确生效的核心是tls握手链路中域名到证书的精准映射，依赖openssl≥1.0.2、mod_ssl加载、每个域名独占块、证书san匹配及无密码私钥等协同条件。

apache 多域名下 sni 要正确生效，核心不是“开启 sni 开关”，而是确保整个 tls 握手链路能准确把域名映射到对应证书——这依赖配置结构、模块状态、证书合规性三者协同。下面分关键环节说明。

确认基础环境支持 SNI

Apache 本身不提供 SNI 开关，它是否生效取决于底层 OpenSSL 和配置方式：

• 运行 httpd -V | grep -i openssl，确认输出类似 OpenSSL 1.1.1w（必须 ≥1.0.2，推荐 ≥1.1.1）；若显示 BoringSSL 或无输出，SNI 不可用
• 检查 mod_ssl 是否已加载：httpd -M | grep ssl 应返回 ssl_module (shared)
• 确保 httpd.conf 中有 LoadModule ssl_module modules/mod_ssl.so 且未被注释
• Windows 下特别注意：libcrypto-1_1-x64.dll 和 libssl-1_1-x64.dll 必须真实存在于 Apache/bin/ 目录，缺失会导致 mod_ssl 加载失败

每个域名必须独占一个 <virtualhost></virtualhost> 块

不能靠 ServerAlias 堆多个域名，也不能复用同一套证书路径。SNI 要求服务器在握手初期就根据域名选择虚拟主机，因此必须显式定义：

Apache Superset Dashboard and SQL Exploration Skill

Apache Superset 是一个广泛采用的开源 BI 平台，用于 SQL 探索、图表构建和仪表板交付。当代理需要查询仓库数据、组装仪表板或使用成熟的分析界面解释指标而不是临时笔记本代码时，此技能非常有用。

下载

• 每个块以 <virtualhost></virtualhost> 开头（不要用 _default_）
• 块内必须包含完整 SSL 指令：SSLEngine on、SSLCertificateFile、SSLCertificateKeyFile，如有中间证书建议用 SSLCertificateChainFile 或直接合并进 fullchain.pem
• ServerName 必须精确匹配访问域名（如 site-a.test），必要时加 ServerAlias www.site-a.test
• 所有 HTTPS 虚拟主机块应放在 httpd-vhosts.conf 末尾，避免被默认 _default_:443 捕获

验证证书与域名严格匹配

即使配置全对，证书本身不合规也会导致浏览器报“证书名称无效”：

• 用 openssl x509 -in cert.pem -text -noout | grep -A1 "Subject Alternative Name" 查看 SAN 字段，必须包含当前访问的完整域名（example.com 和 www.example.com 需同时列出）
• 私钥不能设密码（否则 Apache 启动时会卡住等待输入）
• 证书链顺序要正确：终端证书 → 中间证书 → 根证书（通常 Let’s Encrypt 的 fullchain.pem 已按此顺序排列）

快速验证 SNI 是否真正生效

别只靠浏览器访问，用命令行直击握手层：

• 查实际生效的虚拟主机：httpd -t -D DUMP_VHOSTS，确认每个域名都列在独立的 *:443 条目下
• 模拟客户端发起带 SNI 的请求：openssl s_client -connect site-a.test:443 -servername site-a.test -showcerts，观察返回的证书是否为 site-a.test 对应的那张
• 再对 site-b.test 执行同样命令，对比证书指纹或 CN，确认不混用