apache为不同域名配置独立ssl证书的核心是每个块必须绑定唯一域名、启用sslengine，并指向专属证书文件；需确保mod_ssl已加载、listen 443已声明、apache≥2.2.12、openssl≥0.9.8j，且各证书路径隔离、servername与证书san完全匹配。
apache 为不同域名配置独立 ssl 证书，核心是每个 <virtualhost></virtualhost> 块必须绑定唯一域名、启用 ssl 引擎，并指向专属的证书文件。它不依赖“开启 sni”这个动作，而是靠正确组织虚拟主机结构和证书路径来实现。
确保基础环境就绪
配置前先确认以下几点全部满足：
- 已加载
mod_ssl模块：检查httpd.conf或/etc/httpd/conf.modules.d/00-ssl.conf中有未注释的LoadModule ssl_module modules/mod_ssl.so - 已声明 HTTPS 监听：主配置中存在
Listen 443（通常在ports.conf或httpd.conf） - Apache 版本 ≥ 2.2.12，OpenSSL ≥ 0.9.8j（现代发行版默认满足）
- 证书文件已上传到服务器，且私钥权限设为
600（如chmod 600 /etc/ssl/private/site-a.key）
为每个域名写独立的 *:443 虚拟主机
不能用 ServerAlias 合并多个域名到一个 <virtualhost></virtualhost>，也不能复用同一套证书路径。每个域名需单独定义一个块，ServerName 必须与证书中 Subject 或 SAN 完全一致。
例如，两个站点配置如下：
<virtualhost> ServerName example.com DocumentRoot /var/www/example SSLEngine on SSLCertificateFile /etc/ssl/certs/example.com.crt SSLCertificateKeyFile /etc/ssl/private/example.com.key SSLCertificateChainFile /etc/ssl/certs/example.com.ca-bundle </virtualhost><virtualhost> ServerName blog.example.org DocumentRoot /var/www/blog SSLEngine on SSLCertificateFile /etc/ssl/certs/blog.example.org.crt SSLCertificateKeyFile /etc/ssl/private/blog.example.org.key SSLCertificateChainFile /etc/ssl/certs/blog.example.org.ca-bundle </virtualhost>
注意：Apache ≥ 2.4.8 推荐将中间证书追加到 .crt 文件末尾，不再使用 SSLCertificateChainFile；部分系统（如 Debian/Ubuntu）则改用 SSLCACertificateFile 指向系统 CA 包。
证书路径与文件管理建议
清晰隔离各站点证书，避免混用或路径错误：
- 把证书统一放在
/etc/ssl/certs/，私钥放/etc/ssl/private/（后者需限制读写权限） - 文件命名体现域名，如
shop.mydomain.com.crt、api.mydomain.com.key - 通配符证书（如
*.mydomain.com）仅对一级子域名有效，根域名mydomain.com需单独包含在 SAN 中或另配证书
验证与生效
完成配置后执行以下步骤：
- 语法检查：
apachectl configtest或httpd -t，无报错才继续 - 重载服务：
systemctl reload apache2（Debian/Ubuntu）或systemctl reload httpd（CentOS/RHEL） - 浏览器访问各域名，检查地址栏锁图标及证书信息是否匹配对应域名
- 可借助 SSL Labs Test 验证 SNI 是否正常响应
