| 用途 | 按域名聚焦加密流量 |
|---|---|
| 语法 | tls.handshake.extensions_server_name == "x.com" |
过滤
过滤
tls.handshake.extensions_server_name == "api.example.com"
tls.handshake.extensions_server_name contains "example"SNI 只在握手阶段明文，会话恢复等场景可能不再出现该字段。
按 SNI 过滤流量
同一 IP 上多站点共享 443：tls.handshake.extensions_server_name 是区分目标域名的直接字段，聚焦单站点时首选。
易错点
- ECH（加密客户端问候）启用后 SNI 不可见，需要换观测手段
- SNI 与证书域名不符会触发告警，排查时两者一起核对
数据来源与参考
- RFC 6066（SNI）