502错误可能由Nginx未发送SNI导致TLS握手失败引起；确认方法是查看error.log中是否出现SSL_do_handshake()失败、tlsv1 alert handshake failure（40）等线索，解决需同时配置proxy_ssl_server_name on和proxy_ssl_name，并确保proxy_set_header Host正确、证书验证合理。
直接结论：502 是因为 Nginx 默认不发 SNI，导致 TLS 握手失败；加 proxy_ssl_server_name on 并配 proxy_ssl_name 就能解决，但漏掉 proxy_set_header Host 或证书校验设置，照样 502 或 404。
怎么确认是 SNI 缺失引起的 502
别猜，看日志。打开 /var/log/nginx/error.log，重点搜这几类线索：
-
SSL_do_handshake() failed或SSL_connect() failed -
tlsv1 alert handshake failure（alert number 40）或tlsv1 alert internal error（alert number 80） - 日志里显示 Nginx 把
api.example.com解析成192.0.2.1，但你用curl -v https://192.0.2.1确实失败，而curl -v https://api.example.com成功
满足以上任意一条，基本就是 SNI 问题——后端 HTTPS 服务（比如 Cloudflare、某些 SaaS API）靠 SNI 区分虚拟主机，Nginx 不带 SNI，它就拒连。
proxy_ssl_server_name on 必须配合 proxy_ssl_name
只写 proxy_ssl_server_name on 不够，Nginx 还不知道该发哪个域名过去。它不会自动从 proxy_pass https://xxx 或 upstream 里提取，必须显式指定：
- 如果
proxy_pass直写 URL：proxy_pass https://api.example.com;
则 location 块内必须加：proxy_ssl_server_name on;proxy_ssl_name "api.example.com"; - 如果用了
upstream：upstream backend { server api.example.com:443; }
同样要在 location 里写全两行，且proxy_ssl_name的值必须和 upstream 中 server 后的域名一致（不是 IP） -
proxy_ssl_name值必须是字符串，带引号；大小写不敏感，但建议和证书 CN 或 SAN 完全一致
为什么加了 SNI 还报 404 或证书错误
SNI 只解决握手第一步，后面还有三处常被忽略：
-
proxy_set_header Host必须设成目标域名，不能留$host：
后端服务靠这个路由请求，SNI 是 TLS 层，Host 是 HTTP 层，两者独立。
错例：proxy_set_header Host $host;→ 改为proxy_set_header Host "api.example.com"; - 证书验证默认开启，若后端用自签/通配符/域名不匹配证书，会卡在握手后证书校验阶段：
测试环境可临时关：proxy_ssl_verify off;
生产环境必须配proxy_ssl_trusted_certificate指向可信 CA 证书链 - HTTPS 往往更慢，超时要调大：
proxy_connect_timeout 15s;proxy_send_timeout 60s;proxy_read_timeout 60s;（尤其含大文件上传或长轮询时）
容易踩的坑：upstream 写 IP 就废了
upstream 里写 server 192.0.2.1:443; 是无效的——proxy_ssl_server_name on 在 IP 场景下不生效，Nginx 无法构造 SNI 扩展。必须写域名：
- 正确：
upstream backend { server api.example.com:443; } - 错误：
upstream backend { server 192.0.2.1:443; }（哪怕 DNS 解析结果一样也不行） - DNS 解析由 Nginx 主动完成，不是系统 resolver；如果域名解析不稳定，可加
resolver 8.8.8.8 valid=30s;到 http 块
真正麻烦的是多租户场景：同一个 IP 托管多个 HTTPS 域名，仅靠 SNI + Host 头还不够，可能还需 proxy_ssl_name 动态化（用变量），但这要求 Nginx ≥ 1.19.0 且配置更谨慎——多数人卡在这一步，而不是最初那两行。
