Apache2将www重定向至HTTPS失败问题排查求助

核心问题分析 #

你遇到的SSL验证失败，根源在于虚拟主机的匹配逻辑和证书配置冲突：

1. 第一个<VirtualHost *:80 *:443>同时监听HTTP和HTTPS端口，并且把www.example.com设为ServerAlias，导致用户访问https://www.example.com时，Apache会优先匹配这个虚拟主机，但它使用的是example.com的证书——如果该证书未包含www.example.com作为备用域名，就会触发SSL验证错误。
2. 第二个针对www.example.com的虚拟主机完全不会被触发，因为第一个虚拟主机已经覆盖了*:443端口的www域名请求。
3. 额外问题：80端口是明文HTTP协议，配置SSLEngine on属于冗余操作，可能引发不必要的配置冲突。

修改方案 #

方案一：使用双域名证书（推荐）

如果你的Let's Encrypt证书是同时包含example.com和www.example.com的（多域名证书或通配符证书），可以简化配置，拆分HTTP和HTTPS端口的虚拟主机：

# 处理所有HTTP请求，强制跳转至HTTPS主域名
<VirtualHost *:80>
    ServerName example.com
    ServerAlias www.example.com
    Redirect permanent / https://example.com/
    ErrorLog ${APACHE_LOG_DIR}/error.log
    CustomLog ${APACHE_LOG_DIR}/access.log combined
</VirtualHost>

# 统一处理HTTPS请求，覆盖主域名和www域名
<VirtualHost *:443>
    ServerName example.com
    ServerAlias www.example.com
    DocumentRoot /var/www/html/example
    ErrorLog ${APACHE_LOG_DIR}/error.log
    CustomLog ${APACHE_LOG_DIR}/access.log combined

    SSLEngine on
    SSLCertificateFile /etc/letsencrypt/live/example.com/cert.pem
    SSLCertificateKeyFile /etc/letsencrypt/live/example.com/privkey.pem
    SSLCertificateChainFile /etc/letsencrypt/live/example.com/chain.pem
</VirtualHost>

方案二：保留独立的www域名证书

如果确实持有单独的www.example.com证书，需要调整虚拟主机顺序，避免匹配冲突：

# 统一处理HTTP跳转
<VirtualHost *:80>
    ServerName example.com
    ServerAlias www.example.com
    Redirect permanent / https://example.com/
    ErrorLog ${APACHE_LOG_DIR}/error.log
    CustomLog ${APACHE_LOG_DIR}/access.log combined
</VirtualHost>

# 主域名HTTPS配置
<VirtualHost *:443>
    ServerName example.com
    DocumentRoot /var/www/html/example
    ErrorLog ${APACHE_LOG_DIR}/error.log
    CustomLog ${APACHE_LOG_DIR}/access.log combined

    SSLEngine on
    SSLCertificateFile /etc/letsencrypt/live/example.com/cert.pem
    SSLCertificateKeyFile /etc/letsencrypt/live/example.com/privkey.pem
    SSLCertificateChainFile /etc/letsencrypt/live/example.com/chain.pem
</VirtualHost>

# www域名HTTPS配置，确保ServerName唯一无冲突
<VirtualHost *:443>
    ServerName www.example.com
    Redirect permanent / https://example.com/
    ErrorLog ${APACHE_LOG_DIR}/error.log
    CustomLog ${APACHE_LOG_DIR}/access.log combined

    SSLEngine on
    SSLCertificateFile /etc/letsencrypt/live/www.example.com/cert.pem
    SSLCertificateKeyFile /etc/letsencrypt/live/www.example.com/privkey.pem
    SSLCertificateChainFile /etc/letsencrypt/live/www.example.com/chain.pem
</VirtualHost>

排查验证步骤 #

1. 检查证书域名覆盖范围
   运行命令查看example.com证书是否包含www.example.com：

   openssl x509 -in /etc/letsencrypt/live/example.com/cert.pem -text -noout | grep -A 10 "Subject Alternative Name"
   

   若输出中没有DNS:www.example.com，说明证书不支持www域名，需重新申请双域名证书或使用方案二。

2. 验证配置语法并重启Apache

   apache2ctl configtest
   # 若输出Syntax OK，重启服务
   systemctl restart apache2
   

3. 确认虚拟主机匹配优先级
   Apache会按配置文件中虚拟主机的顺序匹配请求，确保主域名虚拟主机不包含www.example.com的ServerAlias，避免抢占www域名的HTTPS请求。

内容的提问来源于stack exchange，提问作者brett