SSLProxyCheckPeerCN 是 Apache mod_ssl 旧指令，用于校验后端证书 CN，但自 2.4.8 起废弃、2.4.26 彻底移除，现无效且启动报错；应改用 SSLProxyCheckPeerName on 并配合 SSLProxyVerify require 进行 SAN 主机名校验。
SSLProxyCheckPeerCN 是什么，现在还管用吗
SSLProxyCheckPeerCN 是 Apache mod_ssl 提供的一个旧版指令，用于在反向代理场景下（即启用 SSLProxyEngine on 时）强制校验后端 HTTPS 服务器证书中的 CN（Common Name）字段是否匹配目标主机名。但它早在 Apache 2.4.8+ 中就被标记为废弃，2.4.12+ 默认禁用，2.4.26+ 彻底移除。你现在如果在配置里写上它，Apache 启动会报错：Invalid command 'SSLProxyCheckPeerCN', perhaps misspelled or defined by a module not included in the server configuration。
根本原因：仅校验 CN 不安全（不支持通配符精确匹配、忽略 SAN、易被绕过），现代 TLS 实践要求基于 Subject Alternative Name (SAN) 做主机名验证。
- Apache 2.4.8 起默认开启
SSLProxyCheckPeerName on，这才是当前唯一有效的主机名校验开关 -
SSLProxyCheckPeerCN已无实际作用，删掉它，别试图用LoadModule回滚模块来“恢复” - 如果你的 Apache 版本低于 2.4.8（比如 CentOS 7 自带的 2.4.6），升级
httpd或改用其他校验方式（见下条）
如何正确启用后端证书主机名校验（替代 SSLProxyCheckPeerCN）
从 Apache 2.4.8 开始，SSLProxyCheckPeerName 取代了所有 CN 相关逻辑，它会严格依据 RFC 6125 规则检查后端证书的 SAN 字段（优先）或 CN（仅当无 SAN 时回退，且不推荐）。
启用方式很简单：
SSLProxyEngine on SSLProxyCheckPeerName on SSLProxyVerify require SSLProxyVerifyDepth 2
-
SSLProxyCheckPeerName on：必须显式开启，否则默认跳过主机名校验（等同于不安全直连） -
SSLProxyVerify require：强制验证证书链有效性（签名、有效期、吊销状态等），和主机名是两件事，别漏掉 - 若后端用的是自签名或私有 CA 签发的证书，还需用
SSLProxyCACertificateFile或SSLProxyCACertificatePath指定可信 CA 证书 - 注意：该验证发生在连接建立阶段，失败会导致 502 Bad Gateway，并在 error_log 中记录类似
SSL Proxy: Peer certificate does not match hostname
为什么访问后端时总是报 “Peer certificate does not match hostname”
这个错误不是配置写错了，而是后端 HTTPS 服务返回的证书确实不匹配你代理中写的 ProxyPass 目标域名。常见原因如下：
- 代理配置里写的是
ProxyPass / https://api.internal/，但api.internal证书的 SAN 里没有api.internal，只有localhost或 IP 地址 —— 证书本身就不合法 - 用了通配符证书（如
*.example.com），但代理目标是sub.api.example.com—— 通配符只匹配一级子域，sub.api不符合 - 后端 Nginx/Apache 返回了 SNI 错误的证书（比如虚拟主机配置混乱，没正确 set
server_name或ssl_certificate） - 本地 hosts 或 DNS 把
api.internal解析到了错误 IP，导致连上了另一个服务的证书
调试建议：用 openssl s_client -connect api.internal:443 -servername api.internal 手动抓取证书，再用 openssl x509 -in cert.pem -text -noout | grep -A1 "Subject Alternative Name" 查看 SAN 内容，比对是否一致。
能不能关掉主机名校验来临时绕过
能，但不建议。关闭方式是：
SSLProxyCheckPeerName off SSLProxyVerify none
这会让 Apache 完全跳过证书主机名和链验证，相当于裸连 HTTPS —— 和 HTTP 代理安全性无异，中间人攻击风险直接拉满。
- 仅限开发环境、测试容器间通信、或你 100% 控制后端且网络绝对隔离时考虑
- 生产环境禁止使用；CI/CD 流水线中若发现该配置，应视为安全红线
- 如果后端证书无法修改（比如第三方 SaaS），更稳妥的做法是加一层本地 TLS 终止（如用
stunnel或nginx做二级代理并做定制化验证），而不是在 Apache 层妥协
真正麻烦的从来不是怎么关验证，而是怎么让后端把证书 SAN 补全、把域名配对、把 CA 链理顺——这些才是 SSLProxy 的根基。
