Docker部署Apache NiFi 2+时遇HTTP ERROR 400 Invalid SNI问题求助

以下是针对该问题的分步排查与解决建议：

• 检查证书的SAN/CN与访问地址匹配
  SNI错误核心原因通常是证书的**主题备用名称（SAN）或通用名称（CN）**未包含你访问时使用的IP地址/域名。即使非Docker实例正常，Docker环境下NiFi的SSL验证逻辑可能更严格。
  用以下命令查看证书详情，确认Subject Alternative Name字段包含IP:<你的服务器公网/内网IP>或DNS:<访问用域名>：

  keytool -printcert -v -file /opt/certs/你的证书文件.crt
  

  如果缺失对应条目，需重新生成包含目标IP/DNS的证书。

• 调整NiFi的HTTPS主机配置
  当前设置NIFI_WEB_HTTPS_HOST=0.0.0.0可能导致NiFi无法正确识别SNI请求中的主机标识。尝试将该环境变量替换为服务器实际IP：

  docker run --name nifi 
    -v /opt/certs:/opt/certs 
    -p 8445:8445 
    -e NIFI_WEB_HTTPS_PORT=8445 
    -e NIFI_WEB_HTTPS_HOST=<你的服务器IP> 
    -e KEYSTORE_PATH=/opt/certs/keystore.jks 
    -e KEYSTORE_TYPE=JKS 
    -e KEYSTORE_PASSWORD=<changeit> 
    -e TRUSTSTORE_PATH=/opt/certs/truststore.jks 
    -e TRUSTSTORE_PASSWORD=<changeit> 
    -e TRUSTSTORE_TYPE=JKS 
    -e INITIAL_ADMIN_IDENTITY='CN=<changeit>, OU=<changeit>, O=<changeit>, L=<changeit>, ST=<changeit>, C=<changeit>' 
    -e NIFI_SECURITY_USER_LOGIN_IDENTITY_PROVIDER=single-user-provider 
    -e NIFI_SECURITY_NEED_CLIENT_AUTH=false 
    -d 
    apache/nifi:2.1.0
  

  同时确认服务器防火墙已开放8445端口。

• 临时禁用SNI主机检查（用于验证）
  添加NIFI_WEB_HTTPS_SNI_HOST_CHECK=false环境变量关闭SNI强制检查，验证是否为SNI匹配问题：

  -e NIFI_WEB_HTTPS_SNI_HOST_CHECK=false
  

  注意：此仅为测试手段，生产环境需保证证书与访问地址完全匹配，不建议长期禁用。

• 验证容器内证书的路径与权限
  进入容器确认证书挂载与权限：

  # 检查证书是否存在
  docker exec -it nifi ls -l /opt/certs/
  # 验证密钥库可正常读取
  docker exec -it nifi keytool -list -keystore /opt/certs/keystore.jks -storepass <changeit>
  

  若NiFi进程无读取权限，在宿主机调整证书目录权限：

  chown 1000:1000 /opt/certs/*
  

• 检查容器内NiFi配置文件
  进入容器查看conf/nifi.properties，确认环境变量已正确覆盖配置：

  docker exec -it nifi cat conf/nifi.properties | grep -E "nifi.web.https|nifi.security"
  

  确保配置与你设置的环境变量一致，若存在不匹配，可删除容器重新创建（避免残留配置卷影响）。

• 排查网络层SNI传递问题
  使用curl查看请求的SNI信息，确认客户端发送的SNI主机名正确：

  curl -v https://<你的IP>:8445/nifi
  

  若服务器存在反向代理，需确保代理配置正确传递SNI头到Docker容器。

内容的提问来源于stack exchange，提问作者Ahmad Bader