Apache SNI配置错误导致SSL连接匹配到错误网站，本质是TLS握手时客户端发送的SNI域名未被服务器正确识别或路由，最终由默认或靠前的虚拟主机兜底返回不匹配证书；需排查SNI是否发送、Apache是否启用ssl_module及支持SNI的OpenSSL版本、各<VirtualHost *:443>是否显式配置完整SSL指令与匹配的ServerName/ServerAlias、证书SAN是否覆盖访问域名。

apache 中 sni 配置错误导致 ssl 连接匹配到错误网站，本质是 tls 握手阶段客户端声明的域名（sni 字段）未被服务器正确识别或响应，最终由默认虚拟主机或配置靠前的其他站点“兜底”返回了不匹配的证书。排查需聚焦于 sni 是否被发送、是否被 apache 正确接收并用于虚拟主机路由、以及对应站点是否具备完整且匹配的 ssl 配置。

确认客户端是否实际发送了 SNI

现代浏览器和 curl 默认支持 SNI，但老旧环境（如 Windows XP + IE6）或某些定制客户端可能不发。验证方法：

• 用 OpenSSL 模拟真实握手： openssl s_client -connect example.com:443 -servername example.com -showcerts 若输出中显示 “Server name warning” 或证书内容明显不是 example.com 的，说明 SNI 未生效或服务端未响应对应证书
• 对比去掉 -servername 参数的结果： openssl s_client -connect example.com:443 -showcerts 若两次返回的证书不同，说明 SNI 起作用；若相同，说明服务端忽略 SNI 或配置未按域名区分

检查 Apache 是否启用并正确处理 SNI

SNI 是 TLS 层能力，依赖底层 OpenSSL 和模块加载状态：

Apache Superset Dashboard and SQL Exploration Skill

Apache Superset 是一个广泛采用的开源 BI 平台，用于 SQL 探索、图表构建和仪表板交付。当代理需要查询仓库数据、组装仪表板或使用成熟的分析界面解释指标而不是临时笔记本代码时，此技能非常有用。

下载

• 运行 httpd -M | grep ssl，确保 ssl_module 已加载
• 确认 OpenSSL 版本 ≥ 1.0.2（推荐 ≥ 1.1.1）：openssl version
• 检查是否有全局或父级 SSL 指令（如 SSLCertificateFile）泄露到所有虚拟主机——这会导致所有 <VirtualHost *:443> 继承同一份证书，SNI 失效
• 每个 HTTPS 虚拟主机块必须显式包含：SSLEngine on、SSLCertificateFile、SSLCertificateKeyFile、SSLCertificateChainFile（或使用 fullchain.pem 合并）

验证虚拟主机匹配逻辑与顺序

Apache 不是“按域名查表”，而是按配置加载顺序+端口+ServerName 匹配，SNI 只影响哪个 <VirtualHost *:443> 被选中：

• 执行 apachectl -t -D DUMP_VHOSTS，查看实际生效的虚拟主机列表及监听地址、ServerName、ServerAlias
• 确保目标域名在对应 <VirtualHost *:443> 块中通过 ServerName 或 ServerAlias 明确声明（例如访问 www.example.com，但只配了 example.com，则需加 ServerAlias www.example.com）
• 检查是否存在未注释的 <VirtualHost _default_:443> 或位于末尾的“兜底”配置，它会捕获所有未精确匹配的请求并返回自己的证书
• 确认配置中存在 Listen 443，否则整个 *:443 虚拟主机不会被加载

核对证书本身是否覆盖访问域名

即使 SNI 正确路由到对应虚拟主机，证书内容不匹配仍会触发浏览器警告：

• 用 openssl x509 -in cert.pem -text -noout | grep -A1 "Subject Alternative Name" 查看 SAN 字段
• 确保当前访问的完整域名（包括 www 与非 www）都列在 SAN 中；通配符如 *.example.com 不匹配 a.b.example.com
• 避免仅依赖 CN（Common Name），现代浏览器完全以 SAN 为准