Apache 中 SNI 怎么排查多域名443端口冲突-Apache-PHP中文网

apache中sni多域名共用443端口本身不冲突，问题在于配置不当导致sni未生效、证书错配或虚拟主机匹配失败；排查重点是确认sni是否被正确识别并路由到对应块，而非端口占用。

apache 中 sni 多域名共用 443 端口本身不构成“冲突”，真正的问题是配置不当导致 sni 未生效、证书错配或虚拟主机匹配失败。排查重点不在端口是否被占，而在于 apache 是否正确识别并响应不同域名的 tls 握手请求。

Apache 默认支持 SNI（需 OpenSSL ≥1.0.2，httpd ≥2.2.12），但以下情况会使其失效：

SSLStrictSNIVHostCheck 被设为 on：该指令若在全局或虚拟主机外启用，会拒绝不带 SNI 扩展的旧客户端请求，也可能干扰调试；应确保其值为 off（推荐置于 <ifmodule ssl_module></ifmodule> 块内，而非单个 <virtualhost></virtualhost> 中）
前端有反向代理、WAF 或中间设备（如某些企业防火墙、Fiddler/Charles）：它们可能终止 TLS 并重发 HTTP 请求，导致后端 Apache 收不到原始 SNI 信息；临时绕过代理直连测试可快速验证
Windows 下缺失或版本不匹配的 OpenSSL DLL：启动时若日志报 Cannot load mod_ssl.so，说明 libcrypto-1_1-x64.dll 或 libssl-1_1-x64.dll 缺失或路径错误，需核对 Apache bin 目录下是否存在对应文件

关键不是“端口是否通”，而是“域名是否路由到正确的 <virtualhost></virtualhost>”。执行以下步骤：

Apache Superset 是一个广泛采用的开源 BI 平台，用于 SQL 探索、图表构建和仪表板交付。当代理需要查询仓库数据、组装仪表板或使用成熟的分析界面解释指标而不是临时笔记本代码时，此技能非常有用。

下载

运行 apachectl -t -D DUMP_VHOSTS（Linux/macOS）或 httpd.exe -t -D DUMP_VHOSTS（Windows）：检查输出中是否列出所有预期的 *:443 块，且 ServerName 与实际域名完全一致（注意大小写和尾部点号）
用 openssl s_client -connect yourhost:443 -servername domain-a.test -showcerts 分别测试各域名：观察返回的证书是否匹配该域名的 SSLCertificateFile；若始终返回同一张证书，说明 SNI 未被识别，Apache 回退到了第一个定义的 *:443 虚拟主机
检查 ServerAlias 是否误用：SNI 要求每个域名必须有独立的 <virtualhost></virtualhost> 块，不能靠 ServerAlias 在一个块里堆多个域名——那样只会让所有域名共用同一套证书

即使写了多个 *:443 块，若基础配置缺失，SNI 也无法工作：

确认 Listen 443 已在主配置（如 ports.conf 或 httpd.conf）中声明，且未被注释；若使用 httpd-ssl.conf，需确保它被 Include 加载
检查 mod_ssl 是否启用：在 httpd.conf 中找到 LoadModule ssl_module modules/mod_ssl.so，确认未被注释；Windows 下还需确认 DLL 文件真实存在
每个 <virtualhost></virtualhost> 内必须含 SSLEngine on，且 SSLCertificateFile、SSLCertificateKeyFile 路径正确、权限可读（Linux 下 Apache 用户需有读取私钥权限）

当行为异常时，日志比命令行输出更可靠：

开启 SSL 日志：在主配置中添加 SSLLogLevel info 和 SSLLog "/path/to/ssl_engine.log"（Apache 2.4+ 改用 LogLevel ssl:info），重启后查看握手阶段是否记录了收到的 server_name 扩展
查系统端口占用：运行 sudo lsof -i :443（Linux/macOS）或 netstat -ano | findstr :443（Windows），确认只有 Apache 进程在监听，排除 Nginx、Skype、VMware 等抢占
检查 hosts 文件与 DNS：本地 hosts 映射错误可能导致浏览器访问的 IP 并非你调试的 Apache 服务器，建议用 curl -v --resolve domain-a.test:443:127.0.0.1 https://domain-a.test 强制指定解析