Apache 中 SNI 怎么解决多域名内网访问异常-Apache-PHP中文网

内网访问多域名https站点异常的核心是sni未正确识别或传递；需用openssl验证sni是否生效，确保每个域名有独立块、专属证书及san匹配，并确认mod_ssl加载和listen 443配置。

内网访问多域名 https 站点出现异常（如证书错配、跳转到默认站、连接被重置），核心问题不是域名解析或服务未启，而是 sni 在内网环境未被正确识别或传递——尤其当用 ip 直连、hosts 绑定、或客户端不发 sni 时，apache 无法区分该给哪个域名返回哪张证书。

浏览器或 curl 访问 https://site-a.test 时，若 hosts 已映射到内网 IP（如 192.168.1.100），但实际请求仍走的是 IP 地址而非 Host 头，SNI 就可能失效。关键验证方式：

用 openssl s_client -connect 192.168.1.100:443 -servername site-a.test 手动带 SNI 请求，看返回的证书 CN/SAN 是否匹配；
对比不带 -servername 参数的结果——若证书变了，说明 Apache 依赖 SNI 且当前无 SNI 时 fallback 到了第一个 *:443 虚拟主机；
Windows 内网机器若用 IE 或旧版 Edge，需确认系统支持 TLS 1.2+ 且启用 SNI（Win7 SP1+ 默认支持，XP 不支持）。

内网场景下常见错误是“图省事”只配一个 *:443 块，靠 ServerAlias 堆多个域名——这在 HTTPS 下无效，SNI 要求每个域名对应一个显式声明的虚拟主机块：

Apache Superset 是一个广泛采用的开源 BI 平台，用于 SQL 探索、图表构建和仪表板交付。当代理需要查询仓库数据、组装仪表板或使用成熟的分析界面解释指标而不是临时笔记本代码时，此技能非常有用。

下载

每个 <virtualhost></virtualhost> 必须含唯一 ServerName（如 site-a.test），并配专属证书路径；
SSLCertificateFile 必须指向包含该域名 SAN 的证书（site-a.test 和 www.site-a.test 都要列在 SAN 中）；
避免使用通配符证书覆盖所有内网域名，除非所有域名都属同一子域（如 *.dev.local），否则易漏配或误配。

内网常忽略基础配置，导致 HTTPS 根本没起来：

运行 apachectl -M | grep ssl，确认 ssl_module 在列表中；
检查主配置（如 httpd.conf 或 ports.conf）是否含 Listen 443；
Windows 下用 phpEnv 等集成环境时，注意 mod_ssl.so 依赖的 libcrypto-1_1-x64.dll 是否真实存在，缺失会导致模块加载失败，但错误日志可能只报“无法启动”而不明说原因。

仅改 hosts 文件不够，还需让客户端“信得过”证书：

若用自签名证书，必须把 CA 根证书导入操作系统或浏览器的受信任根证书列表；
浏览器地址栏输 https://192.168.1.100（而非域名）→ 不触发 SNI → Apache 返回第一个 *:443 的证书 → 浏览器报“证书与域名不匹配”；解决方法是始终用域名访问（如 https://site-a.test），哪怕它只是 hosts 映射；
后端调试工具（如 Postman、curl）需显式加 --resolve site-a.test:443:192.168.1.100，才能模拟真实 SNI 行为。