Nginx反向代理HTTPS后端时需启用SNI支持，关键配置为location块中设置proxy_ssl_server_name on和proxy_ssl_name $host，确保TLS握手时发送客户端真实域名，避免证书错配；该配置不适用于upstream块，且需配合CDN透传Host头或使用$http_x_forwarded_host动态取值。
这个问题本质是 Nginx 作为反向代理连接后端 HTTPS 服务时，没把客户端请求的真实域名传过去，导致后端无法选对证书。关键不在前端 Nginx 的证书配置，而在它跟后端建立 TLS 连接时的 SNI（Server Name Indication）行为。
必须开启并正确设置 proxy_ssl_server_name
Nginx 默认不发送 SNI，后端就只能返回默认证书，极易和客户端要访问的域名不一致。
- 在对应 location 块中加上 proxy_ssl_server_name on; —— 这条指令只对
proxy_pass https://...生效 - 不能写在 upstream 块里，必须放在使用了
proxy_pass https://的 location 中 - 如果后端是 IP 地址（如
https://10.0.0.5），SNI 就更不可少，否则后端根本不知道该用哪张证书
proxy_ssl_name 必须动态匹配客户端 Host
只开 proxy_ssl_server_name on 不够。Nginx 默认会把 proxy_pass 后写的域名（比如 https://api.example.com）当作 SNI 值发出去，这在多域名场景下必然错配。
- 加一行 proxy_ssl_name $host;，让 SNI 值随客户端请求的 Host 头实时变化
-
$host是标准化后的值（小写、不含端口），比$http_host更可靠 - 绝对不要写死成某个固定域名，除非所有请求都指向同一个后端服务名
注意 CDN 或中间层覆盖 Host 头的情况
如果你用了 Cloudflare、阿里云全站加速等 CDN，它们回源时常常会把 Host 头替换成源站配置的域名（比如 origin.example.com），这时 $host 就不再是用户原始域名，SNI 就又错了。
- 在 CDN 控制台开启「透传原始 Host」功能，通常表现为传递
X-Forwarded-Host或X-Real-Host - Nginx 中改用 proxy_ssl_name $http_x_forwarded_host;
- 同时建议加
proxy_set_header X-Forwarded-Host $host;，方便下游服务识别原始请求域名
验证 SNI 是否真按预期发出
配置写对不等于生效。最直接的办法是看上游服务的 TLS 握手日志：
- 在后端 HTTPS 服务（比如另一台 Nginx 或 Node.js 服务）开启 debug 日志：
error_log /path/to/error.log debug; - 重启服务，发起一次请求
- 搜索日志中
client sent server name或SSL_do_handshake相关行 - 确认收到的 SNI 值是你期望的客户端域名，而不是后端固定域名或空值
