apache sni配置冲突本质是tls握手时客户端声明的域名未正确路由到对应虚拟主机，导致证书错配或503/403响应；需从协议层（openssl版本≥1.0.2、ssl_module启用）、配置层（每个*:443块独立完整、listen 443存在、sslstrictsnivhostcheck off置于全局）、证书层（san包含访问域名、fullchain.pem使用、私钥权限600）三线排查，并用openssl s_client -servername验证sni生效。
apache 中 sni 配置冲突，本质是 tls 握手阶段客户端声明的域名（sni 扩展）没被正确路由到对应虚拟主机，导致返回了错误证书、证书不匹配警告，甚至 503/403 响应。排查要从协议层、配置层、证书层三线并进，不能只看 servername 是否写了。
确认服务器是否真正启用并支持 SNI
Apache 必须在 TLS 握手初期识别 SNI 字段，这依赖底层 OpenSSL 和模块配置：
- 运行
httpd -M | grep ssl或a2enmod ssl && systemctl reload apache2，确保ssl_module已加载 - 检查 OpenSSL 版本：
openssl version，必须 ≥ 1.0.2（推荐 ≥ 1.1.1），否则 SNI 不可用 - Windows 下特别注意：
mod_ssl.so加载失败常因libcrypto-1_1-x64.dll缺失或路径不对，查 error_log 中是否有 “Cannot load mod_ssl.so” - 禁用旧式强制检查：
SSLStrictSNIVHostCheck off必须写在 全局上下文（如 httpd.conf 或 httpd-ssl.conf 顶层），不能放在<virtualhost></virtualhost>内
验证每个 HTTPS 虚拟主机是否独立完整
SNI 要求每个域名有专属的 <virtualhost></virtualhost> 块，且 SSL 指令不可继承、不可复用：
Apache Superset Dashboard and SQL Exploration Skill
下载
Apache Superset 是一个广泛采用的开源 BI 平台，用于 SQL 探索、图表构建和仪表板交付。当代理需要查询仓库数据、组装仪表板或使用成熟的分析界面解释指标而不是临时笔记本代码时，此技能非常有用。
- 每个块必须显式包含：
SSLEngine on、SSLCertificateFile、SSLCertificateKeyFile、SSLCertificateChainFile（或用fullchain.pem合并） - 禁止在全局或父配置中设置证书路径——否则所有
*:443vhost 都会“共享”同一张证书 - 检查
Listen 443是否存在（在ports.conf或httpd.conf中），缺失会导致整个 HTTPS 配置失效 - 运行
apachectl -S，确认每个域名都出现在*:443分组下，且ServerName精确对应访问地址（如example.com不匹配www.example.com）
检查证书与域名是否严格匹配
即使配置全对，证书本身不合规也会触发浏览器告警：
- 用命令查看证书 SAN：
openssl x509 -in site.crt -text -noout | grep -A1 "Subject Alternative Name" - 访问的完整域名（含
www或不含）必须全部列在 SAN 中，大小写敏感、无通配符遗漏 - Let’s Encrypt 用户注意：
cert.pem是叶证书，fullchain.pem才含中间证书；若只设SSLCertificateFile cert.pem，链不完整会导致部分客户端校验失败 - 私钥权限需为 600（Linux/macOS），Windows 下确保 Apache 进程有读取权限
用真实请求验证 SNI 是否生效
绕过浏览器缓存和 UI 干扰，用底层工具直连验证：
- 测试 SNI 发送：
openssl s_client -connect your-domain.com:443 -servername your-domain.com -showcerts - 对比两个域名输出的证书信息是否不同（重点看
subject=和issuer=） - 若两个域名返回同一张证书，说明 SNI 未命中，回退到了默认 vhost（通常是字母序第一个
*:443块） - 配合
curl -v https://site-a.com查看* Server certificate:段落，确认 CN/SAN 是否一致
