apache多域名https中sni握手失败或证书错配，本质是tls协商早期客户端声明的域名未能正确映射到对应虚拟主机和证书；根本原因在于openssl未提供sni回调能力或版本不支持，因apache本身不实现sni而依赖openssl。
Apache 处理多域名 HTTPS 时，SNI 握手失败或证书错配，本质是 TLS 协商早期没能把客户端声明的域名（ClientHello 中的 SNI 字段）正确映射到对应虚拟主机和证书。这不是配置写错了那么简单，而是握手链路上某个环节断了。
确认 OpenSSL 和 Apache 版本是否真正支持 SNI
Apache 本身不实现 SNI，它靠 OpenSSL 提供回调能力。若底层 OpenSSL VirtualHost *:443 的 SNI 路由逻辑不完整。
- 运行
httpd -V | grep -i "openssl\|version"查看编译链接的 OpenSSL 版本 - 检查
mod_ssl是否已加载：httpd -M | grep ssl，输出应含ssl_module (shared) - 确保不是静态编译旧版 OpenSSL（如某些老旧 Linux 发行版自带包），建议升级到 OpenSSL 1.1.1 或更高
验证 ClientHello 是否真带 SNI 域名
浏览器或客户端没发 SNI，服务器就无从选择——这是很多“只生效第一个证书”问题的根源。
- 用
openssl s_client -connect yourdomain.com:443 -servername yourdomain.com -tlsextdebug测试，输出中出现server name indicator行才表示 SNI 已发送 - 老系统如 Windows XP + IE6、Android ≤4.4 WebView、Java 6 或早期 Java 7u25 之前版本默认不发 SNI
- curl 用户注意：低于 7.18.1 版本需加
--resolve或手动指定 Host，否则可能跳过 SNI
检查 VirtualHost 配置是否满足 SNI 匹配硬条件
Apache 不会模糊匹配。它严格按 ServerName 或 ServerAlias 字符串逐字比对 SNI 域名，且要求每个 <virtualhost></virtualhost> 块内必须完整定义 SSL 上下文。
- 每个块都必须有
SSLEngine on，不能只在全局启用一次 -
ServerName必须与用户实际访问的域名完全一致（如访问www.example.com，就不能只写example.com） - 若用通配符证书，
ServerName *.example.com是无效写法；应写具体域名，并确保该域名出现在证书的 SAN 列表中 - 避免多个
<virtualhost></virtualhost>共享同一 IP:Port 却没有ServerName——此时 Apache 会 fallback 到第一个加载的虚拟主机证书
排查证书文件与域名的实际一致性
即使 SNI 正确传递、虚拟主机也匹配上了，证书本身不含该域名，浏览器仍报“证书不匹配”。
- 用
openssl x509 -in cert.pem -text -noout | grep -A1 "Subject Alternative Name"检查 SAN 是否覆盖访问域名 - 泛域名证书
*.example.com不包含example.com，必须显式加入 SAN - 私钥与证书是否配对：运行
openssl x509 -noout -modulus -in cert.pem | openssl md5和openssl rsa -noout -modulus -in key.pem | openssl md5，两个 md5 值必须一致
