Nginx 不支持基于 SNI 的动态路由，仅能通过多 server 块+精确 server_name 匹配实现多域名多证书分发；ssl_certificate 不支持变量，必须为每个域名配置独立 server 块并指定证书路径。
在 Nginx 中，**SNI（Server Name Indication）本身不支持“SNI-Routing”这一原生功能**。Nginx 无法根据 TLS 握手阶段的 SNI 域名直接将请求路由到不同后端或加载不同证书——它只能基于 SNI 选择匹配的 server 块，而每个 server 块必须预先绑定一个或多个证书（通过 ssl_certificate 和 ssl_certificate_key）。真正的“多域名单 IP 多证书分发”，靠的是 **SNI + 多 server 块 + 精确的 server_name 匹配**，而非运行时动态路由。
核心原理：SNI 触发 server 块匹配，不是转发逻辑
Nginx 在 TLS 握手时收到客户端发送的 SNI 域名后，会查找所有启用了 SSL 的 server 块中 server_name 与之精确匹配（或通配符匹配）的那个块，并使用该块配置的证书完成握手。之后的 HTTP 请求才进入该 server 块上下文处理（包括 proxy_pass、rewrite 等）。
这意味着：你不能在一个 server 块里“根据 SNI 再决定转发给 A 还是 B”，而是要为每个需独立证书的域名（或域名组）定义独立的 server 块。
实现多证书域名分发的正确方式
以下是在单个 IP 上为多个域名提供各自证书，并按需反向代理到不同后端的标准做法：
-
为每个主域名（或证书覆盖范围）单独定义一个
server块，设置listen 443 ssl http2、server_name example.com、以及专属的ssl_certificate和ssl_certificate_key -
在对应
server块内配置proxy_pass指向其目标后端（如http://backend-a或https://10.0.1.5:8443），可配合proxy_set_header Host $host透传原始域名 -
支持通配符证书时，可用
server_name *.example.com匹配子域名，但注意通配符仅匹配一级子域，且不能与精确域名共存于同一块（应分块管理） - 避免在 default_server 上硬编码证书；若需兜底响应，建议用 return 444 或重定向，而非提供无效证书引发浏览器警告
常见误区与注意事项
很多人误以为可以用 map + $ssl_server_name 实现动态证书切换，但 Nginx 的 ssl_certificate 指令不支持变量插值（即不能写成 ssl_certificate $cert_path;），这是硬性限制。尝试会报错："ssl_certificate" directive is not allowed here 或启动失败。
其他要点：
- 确保系统 OpenSSL 版本 ≥ 1.0.2（推荐 ≥ 1.1.1），以完整支持 SNI 和 ALPN
- 启用
ssl_protocols TLSv1.2 TLSv1.3;和强 cipher suite，禁用不安全协议 - 若需 HTTP 自动跳转 HTTPS，每个
server块都应配独立的 80 端口监听并return 301 https://www.php.cn/link/21964698b7df1cefa6befc89697f5293; - 证书路径务必使用绝对路径，私钥权限设为
600，Nginx 主进程需有读取权限
示例配置片段
以下是一个双域名、双证书、分发至不同后端的典型配置：
# 域名 A
server {
listen 443 ssl http2;
server_name app.example.com;
ssl_certificate /etc/nginx/ssl/app.example.com/fullchain.pem;
ssl_certificate_key /etc/nginx/ssl/app.example.com/privkey.pem;
<pre class='brush:php;toolbar:false;'>location / {
proxy_pass https://10.0.2.10:8443;
proxy_set_header Host $host;
proxy_set_header X-Real-IP $remote_addr;
}}
域名 B
server { listen 443 ssl http2; server_name api.example.org; ssl_certificate /etc/nginx/ssl/api.example.org/fullchain.pem; ssl_certificate_key /etc/nginx/ssl/api.example.org/privkey.pem;
location / {
proxy_pass http://10.0.2.20:3000;
proxy_set_header Host $host;
proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
}}
对应的 HTTP 跳转（可选）
server { listen 80; server_name app.example.com; return 301 https://www.php.cn/link/21964698b7df1cefa6befc89697f5293; } server { listen 80; server_name api.example.org; return 301 https://www.php.cn/link/21964698b7df1cefa6befc89697f5293; }
不复杂但容易忽略：Nginx 的 SNI 分发能力完全依赖配置结构，没有运行时“路由引擎”。把每个需要独立证书的入口当作一个独立虚拟主机来规划和部署，是最稳定、最可控的方式。
