Apache多域名SNI正确生效的核心是TLS握手链路中域名到证书的精准映射，依赖OpenSSL≥1.0.2、mod_ssl加载、每个域名独占<VirtualHost *:443>块、证书SAN匹配及无密码私钥等协同条件。
apache 多域名下 sni 要正确生效，核心不是“开启 sni 开关”，而是确保整个 tls 握手链路能准确把域名映射到对应证书——这依赖配置结构、模块状态、证书合规性三者协同。下面分关键环节说明。
确认基础环境支持 SNI
Apache 本身不提供 SNI 开关，它是否生效取决于底层 OpenSSL 和配置方式：
- 运行
httpd -V | grep -i openssl，确认输出类似OpenSSL 1.1.1w（必须 ≥1.0.2，推荐 ≥1.1.1）；若显示BoringSSL或无输出，SNI 不可用 - 检查
mod_ssl是否已加载：httpd -M | grep ssl应返回ssl_module (shared) - 确保
httpd.conf中有LoadModule ssl_module modules/mod_ssl.so且未被注释 - Windows 下特别注意：
libcrypto-1_1-x64.dll和libssl-1_1-x64.dll必须真实存在于Apache/bin/目录，缺失会导致 mod_ssl 加载失败
每个域名必须独占一个 <VirtualHost *:443> 块
不能靠 ServerAlias 堆多个域名，也不能复用同一套证书路径。SNI 要求服务器在握手初期就根据域名选择虚拟主机，因此必须显式定义：
Apache Superset Dashboard and SQL Exploration Skill
下载
Apache Superset 是一个广泛采用的开源 BI 平台，用于 SQL 探索、图表构建和仪表板交付。当代理需要查询仓库数据、组装仪表板或使用成熟的分析界面解释指标而不是临时笔记本代码时，此技能非常有用。
- 每个块以
<VirtualHost *:443>开头（不要用_default_） - 块内必须包含完整 SSL 指令：
SSLEngine on、SSLCertificateFile、SSLCertificateKeyFile，如有中间证书建议用SSLCertificateChainFile或直接合并进fullchain.pem -
ServerName必须精确匹配访问域名（如site-a.test），必要时加ServerAlias www.site-a.test - 所有 HTTPS 虚拟主机块应放在
httpd-vhosts.conf末尾，避免被默认_default_:443捕获
验证证书与域名严格匹配
即使配置全对，证书本身不合规也会导致浏览器报“证书名称无效”：
- 用
openssl x509 -in cert.pem -text -noout | grep -A1 "Subject Alternative Name"查看 SAN 字段，必须包含当前访问的完整域名（example.com和www.example.com需同时列出） - 私钥不能设密码（否则 Apache 启动时会卡住等待输入）
- 证书链顺序要正确：终端证书 → 中间证书 → 根证书（通常 Let’s Encrypt 的
fullchain.pem已按此顺序排列）
快速验证 SNI 是否真正生效
别只靠浏览器访问，用命令行直击握手层：
- 查实际生效的虚拟主机：
httpd -t -D DUMP_VHOSTS，确认每个域名都列在独立的*:443条目下 - 模拟客户端发起带 SNI 的请求：
openssl s_client -connect site-a.test:443 -servername site-a.test -showcerts，观察返回的证书是否为site-a.test对应的那张 - 再对
site-b.test执行同样命令，对比证书指纹或 CN，确认不混用
