Apache SNI握手找不到对应域名，本质是客户端ClientHello中的server_name未匹配任一启用SSL的<VirtualHost *:443>块，导致请求落入默认或靠前虚拟主机；需查error_log中“client sent server name”“unable to find named virtual host”等线索，验证SSLEngine、ServerName、证书SAN及配置顺序。
apache sni 握手阶段找不到对应域名，本质是客户端在 tls client hello 中发送的 server_name 扩展值，未被 apache 匹配到任一启用 ssl 的 <virtualhost *:443> 块。这不是证书错误，而是路由失败——请求直接落到默认虚拟主机或配置靠前的其他站点上，导致证书不匹配、502、甚至连接中断。
查 error_log 里 SNI 相关的关键线索
打开 Apache 错误日志（如 /var/log/apache2/error.log），搜索以下字段：
-
client sent server name：确认客户端实际传了哪个域名（例如
api.example.com），不是你“以为”它该传的 -
unable to find named virtual host：明确表示 SNI 域名存在，但 Apache 没找到匹配的
ServerName或ServerAlias -
no SSL certificate for host：SNI 匹配成功了，但该虚拟主机块里漏了
SSLCertificateFile或SSLEngine on - SSL handshake failed本身不说明原因，必须结合它前后几行看 SNI 值和匹配结果
验证 SNI 是否真正被 Apache 接收并用于路由
运行命令查看当前生效的虚拟主机列表及绑定关系：
apachectl -t -D DUMP_VHOSTS
检查输出中是否包含目标域名，并确认其监听地址为 *:443，且 ServerName 或 ServerAlias 与客户端发送的 SNI 域名完全一致（小写、无端口、无协议）。
Apache Superset Dashboard and SQL Exploration Skill
下载
Apache Superset 是一个广泛采用的开源 BI 平台，用于 SQL 探索、图表构建和仪表板交付。当代理需要查询仓库数据、组装仪表板或使用成熟的分析界面解释指标而不是临时笔记本代码时，此技能非常有用。
再用 OpenSSL 模拟握手验证服务端行为：
-
openssl s_client -connect example.com:443 -servername api.example.com -showcerts 2>&1 | grep "subject="：看返回的证书主题是否匹配api.example.com -
openssl s_client -connect example.com:443 -servername wrong.example.com -showcerts：故意输错 SNI，观察是否返回默认证书——能说明匹配逻辑是否起效
检查虚拟主机配置是否满足 SNI 路由前提
每个 HTTPS 域名必须有独立、完整、显式声明的 <VirtualHost *:443> 块，缺一不可：
-
SSLEngine on必须开启，否则整个块不参与 SSL 处理 -
ServerName api.example.com必须与客户端 SNI 域名严格一致；若需支持别名，加ServerAlias www.api.example.com -
SSLCertificateFile和SSLCertificateKeyFile必须指向该域名专用证书和私钥，不能遗漏或路径错误 - 证书的 Subject Alternative Name (SAN) 必须包含该
ServerName，否则部分客户端会拒绝连接（可用openssl x509 -in cert.pem -text -noout | grep -A1 "Subject Alternative Name"查看）
排除全局或继承式配置干扰
Apache 不按“域名查表”，而是按配置加载顺序 + 端口 + ServerName 匹配。常见干扰项：
- 存在一个未设
ServerName的<VirtualHost *:443>块（比如只监听 IP），它会成为“兜底主机”，吞掉所有未匹配的 SNI 请求 -
SSLCertificateFile等指令写在<VirtualHost>外部（如主配置或<IfModule ssl_module>块内），会被所有虚拟主机继承，导致 SNI 失效 - 多个
<VirtualHost *:443>块共用同一 IP，但其中一个没写ServerName，它可能因加载顺序靠前而抢占匹配
