Apache多HTTPS虚拟主机需启用SNI并为每个<VirtualHost *:443>单独配置SSLEngine、证书文件及密钥，确保Listen 443存在、ServerName匹配且证书SAN包含访问域名。
在 Apache 中为不同虚拟主机配置独立 SSL 证书时，若出现证书错配（如访问 A 域名却返回 B 域名的证书）、浏览器提示“证书不匹配”或 TLS 握手失败等问题，核心原因通常是 SSL 配置未正确绑定到对应虚拟主机，或服务器未启用 SNI（Server Name Indication）支持。以下是常见冲突场景及实用解决方法。
确保启用 SNI 并使用支持 SNI 的 OpenSSL 版本
Apache 在一个 IP 上托管多个 HTTPS 虚拟主机，必须依赖 SNI 协议让客户端在 TLS 握手初期声明目标域名，服务器据此选择对应证书。SNI 是 TLS 层功能，要求：
- Apache 编译时链接的 OpenSSL 版本 ≥ 1.0.2（推荐 ≥ 1.1.1）
- 操作系统和客户端（如浏览器、curl）支持 SNI（现代环境基本都支持，但老旧系统如 Windows XP + IE6 不支持）
- 确认已加载
ssl_module：运行httpd -M | grep ssl或a2enmod ssl（Debian/Ubuntu）
每个 <VirtualHost> 必须单独配置 SSL 指令
不能在全局或父配置中设置 SSLCertificateFile 等指令，否则会被所有虚拟主机继承。每个基于域名的 HTTPS 虚拟主机块需显式声明完整证书链：
- 使用
<VirtualHost *:443>（非<VirtualHost _default_:443>），并指定ServerName - 每个块内必须包含：
SSLEngine on、SSLCertificateFile、SSLCertificateKeyFile、SSLCertificateChainFile（或用SSLCACertificateFile合并中间证书） - 若使用 Let’s Encrypt 的 fullchain.pem，应设为
SSLCertificateFile /path/to/fullchain.pem，私钥为SSLCertificateKeyFile /path/to/privkey.pem
检查虚拟主机匹配顺序与端口监听配置
Apache 按配置文件加载顺序匹配虚拟主机，且优先匹配 Listen 443 对应的 <VirtualHost *:443> 块。常见错误包括：
立即学习“Java免费学习笔记（深入）”；
- 遗漏
Listen 443指令（需在httpd.conf或ports.conf中显式声明） - 多个
<VirtualHost *:443>块中，ServerName冲突或未覆盖所有域名（例如缺少ServerAlias www.example.com） - 默认虚拟主机（如
<VirtualHost _default_:443>）位于配置末尾却未禁用，会捕获未匹配请求并返回其证书 - 使用
apachectl -t -D DUMP_VHOSTS查看实际生效的虚拟主机列表及匹配顺序
验证证书与域名是否严格匹配
即使配置无误，证书本身不匹配也会导致浏览器警告。需确认：
- 证书的
Subject Alternative Name (SAN)字段包含当前访问的完整域名（如example.com和www.example.com需同时列出） - 通配符证书
*.example.com不匹配根域名example.com（除非 SAN 显式包含） - 使用
openssl x509 -in cert.pem -text -noout | grep -A1 "Subject Alternative Name"检查 SAN - 避免混用自签名证书与 CA 签发证书在同一 IP 下——浏览器可能缓存旧证书或触发混合信任问题
