apache反向代理wss握手失败主因是sni缺失与upgrade头未透传；须启用sslproxyengine、用带引号的sslproxyservername指定域名、proxypass必须用域名而非ip，并添加header always set upgrade "websocket"和connection "upgrade"。

apache 反向代理 websocket（尤其是 wss://）时握手失败，核心问题不是“能不能连上”，而是http 升级请求被截断或 tls 握手缺关键信息。proxypass 本身只是转发路径，若不配合 ssl 代理、sni 指定和协议头透传，哪怕地址写对了，也会卡在 400、连接重置或无响应阶段。

必须启用 SSL 代理并显式指定 SNI 域名

Apache 默认不会在反向代理发起的 HTTPS 连接中发送 SNI 扩展，而后端（如云网关、Istio 或自建服务）依赖 SNI 选择证书。SNI 为空，TLS 握手直接失败。

• 确认已启用模块：a2enmod ssl proxy_http
• 在 <virtualhost></virtualhost> 或 <location></location> 块中添加：

  SSLProxyEngine on
  SSLProxyVerify none
  SSLProxyCheckPeerCN off
  SSLProxyCheckPeerName off
  SSLProxyServerName "api.example.com"

  注意：SSLProxyServerName 的值必须加英文双引号，且不能是变量（如 $host）

ProxyPass 必须用域名，不能写 IP

写成 ProxyPass / wss://192.168.1.100:443/ 是无效的——Apache 无法从 IP 推导 SNI，SNI 字段仍为空，后端拒绝 TLS 握手。

FastAPI Flask Proxy

FastAPI + Flask 混合部署最佳实践，解决路由定义、API 代理等常见问题，适用于同时运行 FastAPI API 与 Flask 前端的场景。

下载

• 正确写法：ProxyPass / wss://api.example.com:443/
• 若后端实际走内网 IP，需配合 SSLProxyServerName "api.example.com"：域名用于 SNI，IP 用于寻址
• 确保该域名能在 Apache 所在服务器上 DNS 解析成功，或在 /etc/hosts 中静态映射

强制透传 WebSocket 升级头

WSS 握手本质是 HTTP 升级请求。Apache 默认会剥离 Upgrade、Connection 和 Sec-WebSocket-* 头，导致后端收不到升级指令，返回 200 而非 101。

• 添加以下配置（放在同一 <location></location> 或 <virtualhost></virtualhost> 内）：

  ProxyPreserveHost on
  RequestHeader set Host "api.example.com"
  ProxySet keepalive=on
  Header always set Connection "upgrade"
  Header always set Upgrade "websocket"

• ProxyPreserveHost on 确保原始 Host 不被覆盖；RequestHeader set Host 强制与 SNI 域名一致
• 避免使用 proxy_set_header（这是 Nginx 语法），Apache 中对应的是 RequestHeader 和 Header

补充：超时与缓冲设置

WebSocket 是长连接，Apache 默认超时和缓冲策略会主动断开空闲连接。

• 增加超时时间：ProxyTimeout 86400（单位秒，建议设为 24 小时）
• 关闭代理缓冲：SetEnv nokeepalive 1 或 ProxySet disablereuse=off（视版本而定）
• 禁用缓存：CacheDisable *