AWS Classic Load Balancer完成TLS终止后是否保留SNI？

CLB在HTTPS/TLS监听器模式下完成TLS终止后，不会将原始客户端请求的SNI字段传递给后端目标，这是AWS的既定设计，没有配置项可以开启SNI透传。

核心原因如下：

• SNI属于TLS握手阶段的扩展字段，仅存在于客户端与CLB之间的TLS会话协商过程中。CLB完成TLS终止后，会和后端Istio Gateway建立全新的TCP连接，如果后端配置为HTTPS转发规则则会发起新的TLS握手，此时新会话的SNI由CLB自身生成，不会继承原始客户端请求的SNI值。
• 你查阅的CLB官方文档中提到的SNI相关能力，仅作用于CLB的监听器侧，用于匹配多域名证书完成客户端侧的TLS握手，和向后端转发的逻辑无关。

如果你的业务需要基于原始请求的域名做路由，可以选择以下方案适配：

• 将CLB的监听器调整为TCP模式，CLB不做TLS终止，直接将完整TLS流量透传给后端Istio Gateway，由Istio侧完成TLS终止和SNI路由
• 如果必须保留CLB的TLS终止能力，可以配置CLB透传原始请求的Host头，Istio Gateway直接基于Host头做路由即可，无需依赖SNI字段
• 如果需要负载均衡侧完成TLS终止的同时保留更灵活的路由能力，建议升级到AWS应用负载均衡器（ALB）或者网络负载均衡器（NLB）：NLB原生支持TLS流量透传，ALB支持更丰富的请求头注入和路由规则配置。

内容的提问来源于stack exchange，提问作者Patanouk