| 机制 | TLS 握手时通过 SNI 识别目标域名 |
|---|---|
| 要求 | 各域名证书齐全，缺省证书兜底 |
| 注意 | 老旧客户端不带 SNI 时按缺省处理 |
检查清单
检查清单
□ 每个域名证书有效且链完整
□ 证书 SAN 与实际域名匹配
□ 缺省证书已配置（承接无 SNI 请求）
□ 双栈/多线路场景分别验证多域名场景上线前逐一域名做握手测试，避免部分域名静默不可用。
SNI 与多域名证书配置
同一 WAF 承载多域名时依赖 SNI 选择证书与后端：确认客户端支持情况、证书覆盖域名完整、缺省证书配置妥当。
易错点
- 域名证书漏配，个别域名灰闪或握手失败
- 忽略不带 SNI 的老客户端，兼容性投诉难定位
数据来源与参考
- RFC 6066（TLS 扩展：SNI）
- 通用 HTTPS 部署实践