Apache的mod_ssl通过OpenSSL回调在ClientHello明文阶段获取SNI域名，据此匹配VirtualHost并加载对应证书；需OpenSSL≥0.9.8f、客户端支持SNI，且配置中避免同IP:Port多虚拟主机无SNI冲突。
Apache 的 mod_ssl 本身不直接实现 SNI（Server Name Indication），而是依赖底层 OpenSSL 库的支持，并通过 Apache 的 SSL 模块调度机制，在 TLS 握手早期阶段根据客户端 ClientHello 中携带的 SNI 主机名，选择匹配的虚拟主机和对应证书。
SSL/TLS 握手阶段如何获取域名信息
SNI 是 TLS 协议扩展（RFC 6066），客户端在发起 TLS 连接时，会在 ClientHello 消息中明文携带请求的目标域名（如 www.example.com）。该字段在加密建立前发送，因此服务器可在协商密钥前读取。
- Apache 在收到 TCP 连接后，由
mod_ssl调用 OpenSSL 的回调函数（如SSL_CTX_set_tlsext_servername_callback）监听 SNI 事件 - OpenSSL 解析 ClientHello 后触发回调，将域名字符串传给 Apache
- Apache 根据该域名查找已配置的
<virtualhost></virtualhost>块中匹配ServerName或ServerAlias的 SSL 虚拟主机
多域名证书与虚拟主机的绑定方式
一个 HTTPS 站点支持多个域名，本质是为每个域名提供独立的 SSL 上下文（证书+私钥），而非单张证书覆盖全部域名。常见配置模式有：
-
基于 SNI 的多 VirtualHost：每个域名定义独立的
<virtualhost></virtualhost>，各自设置SSLCertificateFile和SSLCertificateKeyFile -
通配符或 SAN 证书复用：单张证书含多个域名（如
example.com,www.example.com,api.example.com），所有虚拟主机共用同一组证书文件，但需确保 SNI 匹配逻辑仍能准确定位到正确 VirtualHost -
混合模式：部分域名用独立证书，部分共享 SAN 证书，Apache 依据 SNI 字符串精确匹配
ServerName后加载对应 SSL 配置
关键前提与限制条件
SNI 正常工作需要同时满足以下条件：
立即学习“Java免费学习笔记（深入）”；
- Apache 编译时启用
mod_ssl，且链接的 OpenSSL 版本 ≥ 0.9.8f（推荐 ≥ 1.0.2 或 1.1.1，以支持 TLS 1.2/1.3 和更完善 SNI 回调） - 操作系统和内核支持 IPv4/IPv6 多地址绑定（非必须，但利于端口复用）
- 客户端必须支持 SNI（现代浏览器、curl 7.18.1+、Java 7u25+ 的
HttpsURLConnection均支持；IE6/WinXP、旧版 Android WebView 等不支持） - Apache 配置中不能将多个 SSL VirtualHost 绑定到同一 IP:Port 且未启用 SNI —— 否则会默认使用第一个加载的虚拟主机证书（即“fallback certificate”行为）
验证与调试方法
排查 SNI 是否生效，可借助以下手段：
- 用
openssl s_client -connect example.com:443 -servername www.example.com手动指定 SNI，观察返回的证书 CN/SAN 是否匹配预期 - 在 Apache 日志中开启
LogLevel ssl:trace5，查看[ssl:debug]日志中是否出现"AH02033: Subsequent (No.2) TLS handshake" + "SNI: www.example.com"类提示 - 检查
apachectl -t -D DUMP_VHOSTS输出，确认各 SSL VirtualHost 的_default_标记及 SNI 相关绑定关系
