Windows C语言SSL服务器SNI回调未触发，无法获取ServerName求助

我仔细排查了你的代码，发现几个核心问题，这些正是导致SNI回调不触发、无法获取ServerName的关键原因，咱们逐个修正：

1. SNI回调函数缺少正确返回值 #

你的ssl_servername_cb没有返回OpenSSL要求的错误码，框架会判定回调执行失败，直接跳过后续处理。必须根据场景返回SSL_TLSEXT_ERR_*系列常量，同时要处理ServerName为空的情况。

修正后的回调函数：

static int ssl_servername_cb(SSL *ssl, int *ad, void *arg) {
    if (ssl == NULL) {
        return SSL_TLSEXT_ERR_NOACK;
    }
    const char* servername = SSL_get_servername(ssl, TLSEXT_NAMETYPE_host_name);
    if (!servername) {
        printf("Client did not send ServerName\n");
        return SSL_TLSEXT_ERR_OK;
    }
    printf("Received ServerName: %s\n", servername);

    // 根据ServerName加载对应域名的证书和私钥
    SSL_CTX *ctx = SSL_get_SSL_CTX(ssl);
    char cert_path[256], key_path[256];
    snprintf(cert_path, sizeof(cert_path), "%s.cer", servername);
    snprintf(key_path, sizeof(key_path), "%s.key.pem", servername);

    if (SSL_CTX_use_certificate_file(ctx, cert_path, SSL_FILETYPE_PEM) <= 0) {
        ERR_print_errors_fp(stderr);
        *ad = SSL_AD_NO_CERTIFICATE;
        return SSL_TLSEXT_ERR_ALERT_FATAL;
    }
    if (SSL_CTX_use_PrivateKey_file(ctx, key_path, SSL_FILETYPE_PEM) <= 0) {
        ERR_print_errors_fp(stderr);
        *ad = SSL_AD_BAD_CERTIFICATE;
        return SSL_TLSEXT_ERR_ALERT_FATAL;
    }
    // 验证证书与私钥是否匹配
    if (!SSL_CTX_check_private_key(ctx)) {
        ERR_print_errors_fp(stderr);
        *ad = SSL_AD_BAD_CERTIFICATE;
        return SSL_TLSEXT_ERR_ALERT_FATAL;
    }

    return SSL_TLSEXT_ERR_OK;
}

2. TLS版本选择限制SNI支持 #

你使用的TLSv1_1_server_method()仅支持TLS 1.1，而多数客户端默认使用更高版本（如TLS 1.2/1.3），且老版本方法的SNI扩展支持不完善。建议改用OpenSSL 1.1.0+推荐的TLS_server_method()，它会自动适配系统支持的最高TLS版本，同时完善扩展兼容。

修正后的create_context函数：

SSL_CTX *create_context() {
    const SSL_METHOD *method;
    SSL_CTX *ctx;

    // 自动适配最高可用TLS版本
    method = TLS_server_method();
    ctx = SSL_CTX_new(method);
    if (!ctx) {
        perror("Unable to create SSL context");
        ERR_print_errors_fp(stderr);
        exit(EXIT_FAILURE);
    }
    return ctx;
}

3. SNI回调设置时机错误 #

你在main中设置了一次回调，又在accept后重复设置，这不仅多余，还可能导致上下文状态混乱。正确做法是在创建SSL_CTX之后、配置默认证书之前设置一次回调，所有基于该CTX的SSL连接都会继承此回调。

修正后的main函数开头：

int main() {
    SSL_CTX *ctx;
    init_openssl();
    ctx = create_context();
    // 先设置SNI回调，再配置默认证书（作为无SNI时的 fallback）
    SSL_CTX_set_tlsext_servername_callback(ctx, ssl_servername_cb);
    configure_context(ctx);
    // ... 后续代码
}

4. 直接操作原始Socket破坏SSL握手流程 #

你在SSL握手后用recv/send直接操作Socket，这会绕过SSL层的加密处理，不仅无法正确解析数据，还可能导致握手阶段的SNI扩展未被解析。必须改用SSL_read/SSL_write处理所有数据交互。

5. SSL_accept缺少错误重试处理 #

SSL_accept可能因IO等待（如需要读/写数据）返回<=0，此时需判断错误类型并重试，而非直接判定握手失败。

修正后的握手逻辑：

// 创建SSL对象并绑定Socket
SSL *ssl = SSL_new(ctx);
if (!ssl) {
    ERR_print_errors_fp(stderr);
    closesocket(ClientSocket);
    WSACleanup();
    return 1;
}
SSL_set_fd(ssl, ClientSocket);

// 处理SSL握手，支持重试
int ssl_err;
int handshake_result;
while ((handshake_result = SSL_accept(ssl)) <= 0) {
    ssl_err = SSL_get_error(ssl, handshake_result);
    if (ssl_err == SSL_ERROR_WANT_READ || ssl_err == SSL_ERROR_WANT_WRITE) {
        // 生产环境建议用select/IOCP处理，这里简化为短暂等待重试
        Sleep(100);
        continue;
    } else {
        printf("SSL handshake failed: error code %d\n", ssl_err);
        ERR_print_errors_fp(stderr);
        SSL_free(ssl);
        closesocket(ClientSocket);
        WSACleanup();
        return 1;
    }
}

额外注意事项 #

• OpenSSL版本要求：必须使用OpenSSL 1.1.0及以上版本，老版本SNI支持存在兼容性问题。
• 客户端SNI发送：对接C#的SslStream时，需在SslClientOptions中设置TargetHost属性，否则客户端不会发送SNI扩展，服务端自然无法获取ServerName。
• 证书缓存优化：若支持多域名，建议提前为每个域名创建独立的SSL_CTX并缓存，避免在SNI回调中重复加载证书文件，提升性能。
• Windows库依赖：确保程序目录下存在OpenSSL动态库（如libssl-1_1-x64.dll、libcrypto-1_1-x64.dll），否则会加载失败。

内容的提问来源于stack exchange，提问作者Reza Akraminejad