SSL/TLS握手失败：Unrecognized Name问题排查与解决求助

• SNI名称不匹配：客户端在Client Hello的SNI（Server Name Indication）扩展中发送的服务器名称，与服务器端配置的域名/主机名完全不匹配，服务器无法找到对应的证书或虚拟主机配置，因此返回致命告警。
• 服务器未启用SNI支持：部分老旧版本的服务器软件（如旧版Apache、Nginx）默认未开启SNI功能，当客户端发送带SNI的请求时，服务器无法解析该扩展，直接触发告警。
• 证书配置错误：服务器虽已配置SNI，但对应域名的证书未正确部署，或证书的Common Name（CN）、Subject Alternative Name（SAN）字段不包含客户端发送的SNI名称，导致服务器无法匹配有效证书。

客户端侧调整 #

• 若无需SNI，直接禁用客户端的SNI扩展：
  • Python代码示例：初始化SSL上下文时，设置server_hostname=None，避免发送SNI字段。
  • 命令行工具（如curl）：添加--no-sni参数执行请求。
• 确保SNI字段与服务器配置一致：检查客户端代码中指定的server_hostname（或同类参数）是否和服务器绑定的域名完全匹配，注意SNI不包含端口号，且大小写敏感。

服务器侧配置 #

• 启用SNI支持：
  • Nginx：确认编译时开启--with-http_ssl_module，在配置文件中为每个域名创建独立server块，分别指定ssl_certificate和ssl_certificate_key。
  • Apache：启用mod_ssl和mod_sni模块，在虚拟主机配置中为对应域名设置SSLCertificateFile和SSLCertificateKeyFile。
  • 自定义SSL服务（如Java/Python）：确保代码实现了SNI解析逻辑，能根据客户端发送的SNI名称选择对应证书。
• 验证证书匹配性：使用openssl x509 -in 证书文件路径 -text -noout命令查看证书详情，确认Subject中的CN字段或X509v3 Subject Alternative Name包含客户端发送的SNI名称。
• 配置默认证书：若服务器仅需单域名服务，可在全局配置中设置默认证书，当收到未识别的SNI请求时，用默认证书响应，避免触发致命告警。比如Nginx在http块中设置全局的ssl_certificate和ssl_certificate_key。

内容的提问来源于stack exchange，提问作者Ahamed Fayaz.