Apache mod_proxy不自动配置SNI，必须显式启用SSLProxyEngine on、用SSLProxyServerName "域名"指定SNI值、ProxyPass目标须为可解析域名而非IP，否则上游HTTPS握手失败。
apache 的 mod_proxy 本身不“配置 sni”，而是通过 ssl 代理相关指令显式启用并指定 sni 域名，让 apache 在作为 https 反向代理连接上游服务器时，正确发送 tls clienthello 中的 server_name 扩展。sni 不是自动推导的，漏配就会导致握手失败（如 handshake failure、no shared cipher 或后端直接断连）。
关键不是“开启 SNI”，而是确保 Apache 发起上游 HTTPS 连接时，带对域名。
必须启用 SSL 代理功能
Apache 默认不处理上游 HTTPS 连接的 TLS 握手，必须显式启用：
SSLProxyEngine on
若未启用，错误日志中会出现类似提示：
SSLProxyEngine not enabled
必须指定 SNI 域名（核心步骤）
用 SSLProxyServerName 显式告诉 Apache：连接上游时该发哪个域名给对方。
✅ 正确写法（带英文双引号）：
SSLProxyServerName "api.example.com"
❌ 错误写法：
-
SSLProxyServerName api.example.com（缺引号，Apache 会报语法错） -
SSLProxyServerName $host（不支持变量） -
SSLProxyServerName 10.10.20.30（IP 地址无效，SNI 要求域名）
这个值必须与上游服务期望的 SNI 域名完全一致（比如后端 Nginx / Tomcat / API 网关做了 SNI 校验）。
安全更新和维护 CLI Proxy API（CPA）部署与配置。用于 CPA 镜像升级、配置变更、认证目录兼容修复、上线验证与回滚。适用于用户提到“CPA 更新/升级/配置改了/容器重建/回滚”等场景。
ProxyPass 目标必须用域名，不能用 IP
# ✅ 正确：域名用于 SNI，DNS 解析用于寻址 ProxyPass https://api.example.com:443/ # ❌ 错误：IP 不参与 SNI，Apache 无法从中提取 server_name ProxyPass https://10.10.20.30:443/
同时确保该域名在 Apache 所在主机上可解析（建议 /etc/hosts 静态映射内网地址）。
WebSockets 场景需额外透传协议头
如果代理的是 WSS（wss://），还需透传升级协议头：
ProxyPreserveHost On RequestHeader set Upgrade "websocket" early RequestHeader set Connection "upgrade" early
否则 Upgrade: websocket 头可能被丢弃，导致 WebSocket 握手失败。
验证 SNI 是否真正发出
在 Apache 服务器上抓包确认：
tcpdump -i any -nn port 443 and host <upstream-ip> -w sni.pcap
用 Wireshark 打开，过滤 tls.handshake.type == 1，查看 ClientHello 的 Extensions → server_name 是否存在且值正确。
或用 OpenSSL 模拟验证：
openssl s_client -connect api.example.com:443 -servername api.example.com -tlsextdebug 2>&1 | grep "server name"
输出含 server name 表示客户端（即 Apache）能正常发；若无，则上游服务很可能因 SNI 缺失拒绝连接。
