根本原因是sni字段缺失或错配；必须启用sslproxyengine on并显式设置sslproxyservername "api.example.com"（带双引号），proxypass须用域名而非ip，且host头需与sni严格一致。

apache 多域名反向代理时证书匹配错误，根本原因不是证书本身坏了，而是代理发起 tls 连接时没把用户请求的域名正确告诉后端服务器——sni（server name indication）字段缺失或错配。后端靠 sni 选证书，sni 不对，就拿错证书、握手失败、返回 502 或证书警告。

必须启用 SSLProxyEngine 并显式设置 SSLProxyServerName

Apache 默认不发送 SNI，即使 ProxyPass 写的是域名。必须手动开启并指定：

• 在对应 <virtualhost></virtualhost> 或 <location></location> 块中启用：SSLProxyEngine on
• 紧接着写：SSLProxyServerName "api.example.com"（注意英文双引号，不能省略）
• 该值必须与后端证书的 SAN（Subject Alternative Name）完全一致，大小写敏感
• 不支持变量（如 $host），生产环境必须写死为真实目标域名

ProxyPass 必须用域名，不能用 IP 地址

如果 ProxyPass 指向 https://192.168.1.100:443/，Apache 就无法推导 SNI，即使开了 SSLProxyEngine，ClientHello 里 SNI 字段仍是空的。

Apache Superset Dashboard and SQL Exploration Skill

Apache Superset 是一个广泛采用的开源 BI 平台，用于 SQL 探索、图表构建和仪表板交付。当代理需要查询仓库数据、组装仪表板或使用成熟的分析界面解释指标而不是临时笔记本代码时，此技能非常有用。

下载

• 改为使用可解析的域名：ProxyPass / https://api.example.com:443/
• 若后端实际走内网 IP，需配合 /etc/hosts 或 DNS 将该域名解析到对应 IP
• 确保 Apache 主机能 ping 或 curl -v https://api.example.com 成功

同步修正 Host 请求头与 SNI 保持一致

不少后端（如 Istio、Traefik、云网关）既校验 SNI，也校验 HTTP 的 Host 头。两者不一致，可能被拦截或返回 403。

• 添加：ProxyPreserveHost off（避免透传原始 Host）
• 强制设为匹配值：RequestHeader set Host "api.example.com"
• 确保这行和 SSLProxyServerName "api.example.com" 的域名完全相同

验证 SNI 是否真正发出

配置 reload 成功 ≠ 实际生效。必须实测确认：

• 用 OpenSSL 模拟客户端连接：openssl s_client -connect your-apache-ip:443 -servername api.example.com -showcerts
• 观察输出中 subject=CN= 是否为你期望的证书，Verify return code 是否为 0
• 若返回 42（hostname mismatch）或 20（unable to get local issuer certificate），说明 SNI 或证书链仍有问题