Apache反向代理WSS握手失败主因是SNI缺失与Upgrade头未透传；须启用SSLProxyEngine、用带引号的SSLProxyServerName指定域名、ProxyPass必须用域名而非IP，并添加Header always set Upgrade "websocket"和Connection "upgrade"。
apache 反向代理 websocket（尤其是 wss://）时握手失败，核心问题不是“能不能连上”，而是http 升级请求被截断或 tls 握手缺关键信息。proxypass 本身只是转发路径，若不配合 ssl 代理、sni 指定和协议头透传，哪怕地址写对了，也会卡在 400、连接重置或无响应阶段。
必须启用 SSL 代理并显式指定 SNI 域名
Apache 默认不会在反向代理发起的 HTTPS 连接中发送 SNI 扩展，而后端（如云网关、Istio 或自建服务）依赖 SNI 选择证书。SNI 为空，TLS 握手直接失败。
- 确认已启用模块：
a2enmod ssl proxy_http - 在
<VirtualHost>或<Location>块中添加：SSLProxyEngine on SSLProxyVerify none SSLProxyCheckPeerCN off SSLProxyCheckPeerName off SSLProxyServerName "api.example.com"
注意：SSLProxyServerName 的值必须加英文双引号，且不能是变量（如 $host）
ProxyPass 必须用域名，不能写 IP
写成 ProxyPass / wss://192.168.1.100:443/ 是无效的——Apache 无法从 IP 推导 SNI，SNI 字段仍为空，后端拒绝 TLS 握手。
FastAPI Flask Proxy
下载
FastAPI + Flask 混合部署最佳实践，解决路由定义、API 代理等常见问题，适用于同时运行 FastAPI API 与 Flask 前端的场景。
- 正确写法：
ProxyPass / wss://api.example.com:443/ - 若后端实际走内网 IP，需配合
SSLProxyServerName "api.example.com"：域名用于 SNI，IP 用于寻址 - 确保该域名能在 Apache 所在服务器上 DNS 解析成功，或在
/etc/hosts中静态映射
强制透传 WebSocket 升级头
WSS 握手本质是 HTTP 升级请求。Apache 默认会剥离 Upgrade、Connection 和 Sec-WebSocket-* 头，导致后端收不到升级指令，返回 200 而非 101。
- 添加以下配置（放在同一
<Location>或<VirtualHost>内）：ProxyPreserveHost on RequestHeader set Host "api.example.com" ProxySet keepalive=on Header always set Connection "upgrade" Header always set Upgrade "websocket"
-
ProxyPreserveHost on确保原始 Host 不被覆盖；RequestHeader set Host强制与 SNI 域名一致 - 避免使用
proxy_set_header（这是 Nginx 语法），Apache 中对应的是RequestHeader和Header
补充：超时与缓冲设置
WebSocket 是长连接，Apache 默认超时和缓冲策略会主动断开空闲连接。
- 增加超时时间：
ProxyTimeout 86400（单位秒，建议设为 24 小时） - 关闭代理缓冲：
SetEnv nokeepalive 1或ProxySet disablereuse=off（视版本而定） - 禁用缓存：
CacheDisable *
