OpenLiberty是否支持SNI配置？多客户端URL适配证书问题

可以实现。核心是通过OpenLiberty的虚拟主机+多SSL端点绑定或者SNI（Server Name Indication）特性，让服务器根据请求的URL（主机名）自动匹配并返回对应CA签发的证书。以下是具体配置步骤：

1. 准备证书资源 #

• 为两个目标URL分别生成由对应CA签发的服务器证书及私钥，存入独立的密钥库（如url1-keystore.jks、url2-keystore.jks）。
• 若需双向认证，分别导入对应客户端CA的根证书到各自的信任库（如url1-truststore.jks、url2-truststore.jks）。

2. 配置多SSL端点 #

在server.xml中定义多个ssl元素，每个元素关联对应URL的密钥库和信任库：

<!-- URL1 对应的SSL配置 -->
<ssl id="sslForUrl1" keyStoreRef="keyStoreUrl1" trustStoreRef="trustStoreUrl1" />
<keyStore id="keyStoreUrl1" location="${server.config.dir}/url1-keystore.jks" password="your-keystore-pass" />
<trustStore id="trustStoreUrl1" location="${server.config.dir}/url1-truststore.jks" password="your-truststore-pass" />

<!-- URL2 对应的SSL配置 -->
<ssl id="sslForUrl2" keyStoreRef="keyStoreUrl2" trustStoreRef="trustStoreUrl2" />
<keyStore id="keyStoreUrl2" location="${server.config.dir}/url2-keystore.jks" password="your-keystore-pass" />
<trustStore id="trustStoreUrl2" location="${server.config.dir}/url2-truststore.jks" password="your-truststore-pass" />

3. 绑定虚拟主机与入站通道 #

为每个URL配置专属虚拟主机，再将虚拟主机与对应SSL端点绑定到HTTP入站通道：

<!-- 定义虚拟主机，关联目标URL -->
<virtualHost id="vhUrl1">
    <hostAlias>url1.yourdomain.com</hostAlias>
</virtualHost>
<virtualHost id="vhUrl2">
    <hostAlias>url2.yourdomain.com</hostAlias>
</virtualHost>

<!-- 配置HTTP端点，绑定不同虚拟主机与SSL配置 -->
<httpEndpoint id="defaultHttpEndpoint" host="*" httpPort="9080" httpsPort="9443">
    <sslOptions sslRef="sslForUrl1" virtualHostRef="vhUrl1" />
    <sslOptions sslRef="sslForUrl2" virtualHostRef="vhUrl2" />
</httpEndpoint>

备选方案：使用SNI（单端口多证书） #

如果两个URL共享同一端口，可采用SNI特性，将多个证书存入同一密钥库，OpenLiberty会根据请求的SNI主机名自动匹配证书：

<ssl id="sniSslConfig" keyStoreRef="multiCertKeyStore" sniHostCheck="true" />
<keyStore id="multiCertKeyStore" location="${server.config.dir}/multi-cert-keystore.jks" password="your-keystore-pass" />

注意：密钥库中需包含两个URL的证书，建议将证书别名设置为对应主机名，确保SNI匹配逻辑生效。

4. 验证配置 #

启动OpenLiberty后，通过以下方式验证：

• 使用openssl s_client -connect url1.yourdomain.com:9443命令，检查返回的证书是否为对应CA签发。
• 若开启双向认证，使用对应客户端CA签发的客户端证书发起请求，确认连接正常。

内容的提问来源于stack exchange，提问作者Genna