Apache为不同域名配置独立SSL证书的核心是每个<VirtualHost *:443>块必须绑定唯一域名、启用SSLEngine，并指向专属证书文件；需确保mod_ssl已加载、Listen 443已声明、Apache≥2.2.12、OpenSSL≥0.9.8j，且各证书路径隔离、ServerName与证书SAN完全匹配。
apache 为不同域名配置独立 ssl 证书，核心是每个 <virtualhost *:443> 块必须绑定唯一域名、启用 ssl 引擎，并指向专属的证书文件。它不依赖“开启 sni”这个动作，而是靠正确组织虚拟主机结构和证书路径来实现。
确保基础环境就绪
配置前先确认以下几点全部满足：
- 已加载
mod_ssl模块：检查httpd.conf或/etc/httpd/conf.modules.d/00-ssl.conf中有未注释的LoadModule ssl_module modules/mod_ssl.so - 已声明 HTTPS 监听：主配置中存在
Listen 443（通常在ports.conf或httpd.conf） - Apache 版本 ≥ 2.2.12，OpenSSL ≥ 0.9.8j（现代发行版默认满足）
- 证书文件已上传到服务器，且私钥权限设为
600（如chmod 600 /etc/ssl/private/site-a.key）
为每个域名写独立的 *:443 虚拟主机
不能用 ServerAlias 合并多个域名到一个 <VirtualHost>，也不能复用同一套证书路径。每个域名需单独定义一个块，ServerName 必须与证书中 Subject 或 SAN 完全一致。
例如，两个站点配置如下：
<VirtualHost *:443> ServerName example.com DocumentRoot /var/www/example SSLEngine on SSLCertificateFile /etc/ssl/certs/example.com.crt SSLCertificateKeyFile /etc/ssl/private/example.com.key SSLCertificateChainFile /etc/ssl/certs/example.com.ca-bundle </VirtualHost> <VirtualHost *:443> ServerName blog.example.org DocumentRoot /var/www/blog SSLEngine on SSLCertificateFile /etc/ssl/certs/blog.example.org.crt SSLCertificateKeyFile /etc/ssl/private/blog.example.org.key SSLCertificateChainFile /etc/ssl/certs/blog.example.org.ca-bundle </VirtualHost>
注意：Apache ≥ 2.4.8 推荐将中间证书追加到 .crt 文件末尾，不再使用 SSLCertificateChainFile；部分系统（如 Debian/Ubuntu）则改用 SSLCACertificateFile 指向系统 CA 包。
证书路径与文件管理建议
清晰隔离各站点证书，避免混用或路径错误：
- 把证书统一放在
/etc/ssl/certs/，私钥放/etc/ssl/private/（后者需限制读写权限） - 文件命名体现域名，如
shop.mydomain.com.crt、api.mydomain.com.key - 通配符证书（如
*.mydomain.com）仅对一级子域名有效，根域名mydomain.com需单独包含在 SAN 中或另配证书
验证与生效
完成配置后执行以下步骤：
- 语法检查：
apachectl configtest或httpd -t，无报错才继续 - 重载服务：
systemctl reload apache2（Debian/Ubuntu）或systemctl reload httpd（CentOS/RHEL） - 浏览器访问各域名，检查地址栏锁图标及证书信息是否匹配对应域名
- 可借助 SSL Labs Test 验证 SNI 是否正常响应
