Nginx 通过多个 server 块共享 443 端口并依赖 SNI 实现单 IP 多域名 HTTPS；每个 server 块独立配置域名、证书及私钥，Nginx 根据 TLS 握手中的 SNI 字段自动匹配对应证书。
Nginx 本身不支持在同一个 server 块中直接配置多个证书，但可以通过多个 server 块共享同一监听端口 + SNI 自动匹配的方式，实现单 IP 多域名 HTTPS（即 SNI 支持）。这是标准且推荐的做法，Nginx 从 1.11.0 起已默认启用 SNI（依赖 OpenSSL 支持），无需额外开启。
关键点在于：每个域名对应一个独立的 server 块，都监听 443 ssl，并各自指定自己的证书和私钥。客户端通过 TLS 握手时发送的 SNI 扩展字段，Nginx 会据此选择匹配的 server 块及其中的证书。
✅ 正确写法：为每个域名单独定义 server 块
# 域名 one.example.com
server {
listen 443 ssl http2;
server_name one.example.com;
ssl_certificate /etc/nginx/ssl/one.example.com/fullchain.pem;
ssl_certificate_key /etc/nginx/ssl/one.example.com/privkey.pem;
# 其他配置...
location / {
proxy_pass https://backend1;
}
}
# 域名 two.example.com
server {
listen 443 ssl http2;
server_name two.example.com;
ssl_certificate /etc/nginx/ssl/two.example.com/fullchain.pem;
ssl_certificate_key /etc/nginx/ssl/two.example.com/privkey.pem;
location / {
proxy_pass https://backend2;
}
}⚠️ 注意：所有
server块必须使用相同的listen 443 ssl（不能混用default_server以外的 default 标志），且server_name必须精确或通配匹配请求 Host。
? 必要前提与验证要点
-
OpenSSL 版本 ≥ 1.0.2（SNI 支持要求），可通过
nginx -V 2>&1 | grep -o 'OpenSSL [^ ]*'查看 -
Nginx 编译时需启用
--with-http_ssl_module（绝大多数预编译包已包含） -
避免在同一个
server块里写多个ssl_certificate指令 —— Nginx 不识别，会报错或仅加载最后一个 -
通配符证书可复用：如
*.example.com可用于a.example.com、b.example.com，此时一个server块就能覆盖多个子域（但主域example.com需额外显式声明或使用多域名证书）
? 进阶：单 server 块支持多域名（需多域名证书）
如果你有 SAN（Subject Alternative Name）证书，例如一个证书同时包含：
CN = example.com SANs = example.com, www.example.com, api.example.com
那么可以只用一个 server 块：
server {
listen 443 ssl http2;
server_name example.com www.example.com api.example.com;
ssl_certificate /etc/nginx/ssl/example-san/fullchain.pem;
ssl_certificate_key /etc/nginx/ssl/example-san/privkey.pem;
}这种情况下，SNI 仍生效，但 Nginx 只需加载一份证书；客户端访问任一 SAN 域名，证书均被信任。
? 测试 SNI 是否正常工作
用 OpenSSL 手动模拟不同域名的 TLS 握手：
# 请求 one.example.com 的证书 openssl s_client -connect your-server-ip:443 -servername one.example.com -showcerts </dev/null 2>/dev/null | openssl x509 -noout -text | grep "Subject:.*CN=" # 请求 two.example.com openssl s_client -connect your-server-ip:443 -servername two.example.com -showcerts </dev/null 2>/dev/null | openssl x509 -noout -text | grep "Subject:.*CN="
输出中的 CN= 应分别匹配对应域名，说明 SNI 路由正确。
不复杂但容易忽略：只要 server_name 和 ssl_certificate 成对清晰、监听配置一致，Nginx 就能靠 SNI 自动分发证书。不需要模块扩展，也不需要 Lua 或 stream 模块介入。
