背景介绍

随着IPv4地址的短缺，为了让多个域名复用一个IP地址，在HTTP服务器上引入了虚拟主机的概念。服务器可以根据客户端请求中不同的Host，将请求分配给不同的域名（虚拟主机）来处理。在一个被多个域名（虚拟主机）共享IP的HTTPS服务器中，当浏览器访问一个HTTPS站点时，会首先与服务器建立SSL连接。建立SSL连接的第一步是请求服务器的证书。服务器在发送证书时，不知道浏览器访问的是哪个域名，所以不能根据不同域名发送不同的证书。

SNI（Server Name Indication）是为了解决一个服务器使用多个域名和证书的SSL/TLS扩展。它的工作原理是：在与服务器建立SSL连接之前，先发送要访问站点的域名（Hostname），这样服务器会根据这个域名返回一个合适的证书。

目前，大多数操作系统和浏览器都已经很好地支持SNI扩展。OpenSSL 0.9.8 已经内置这一功能，新版的Nginx也支持SNI。

问题描述

在接入Web应用防火墙后，如果您出现HTTPS访问异常问题，可能是由于客户端不支持SNI导致的。

当使用不支持SNI的浏览器访问Web应用防火墙的网站时，Web应用防火墙因不知道客户端请求的是哪个域名，无法调取对应的虚拟主机证书来跟客户端交互，只能使用内置的一个缺省证书去跟客户端握手，这时在客户端浏览器上会提示“服务器证书不可信”。

如果客户端不支持SNI，可能会出现如下现象：

• 在手机App客户端，iOS客户端可以正常访问，而Android客户端无法正常打开。
• 浏览器打开网站，显示证书不可信。

解决方案

您可以在客户端抓SSL握手的报文，来判断客户端是否支持SNI。以Chrome浏览器访问阿里云官网为例。

若在Client Hello报文里可以看到SNI扩展，则表示客户端支持SNI扩展。

否则，客户端不支持SNI扩展。对于不支持SNI的客户端有以下建议：

• 建议您升级或使用新版本的浏览器（如Chrome、Firefox等）。
• 如果是微信、支付宝第三方回调，需要让其调用源站IP，绕过Web应用防火墙。

SNI兼容性

• SNI支持以下桌面版浏览器：
  • Chrome 5及以上版本
  • Chrome 6及以上版本（Windows XP）
  • Firefox 2及以上版本
  • IE 7及以上版本（运行在Windows Vista/Server 2008及以上版本系统中，在XP系统中任何版本的IE浏览器都不支持SNI）
  • Konqueror 4.7及以上版本
  • Opera 8及以上版本
  • Safari 3.0 on Windows Vista/Server 2008及以上版本，Mac OS X 10.5.6 及以上版本
• SNI支持以下库：
  • GNU TLS
  • Java 7及以上版本，仅作为客户端
  • HTTP client 4.3.2及以上版本
  • libcurl 7.18.1及以上版本
  • NSS 3.1.1及以上版本
  • OpenSSL 0.9.8j及以上版本
  • OpenSSL 0.9.8f及以上版本，需配置flag
  • Qt 4.8及以上版本
  • Python3、Python 2.7.9及以上版本
• SNI支持以下手机端浏览器：
  • Android Browser on 3.0 Honeycomb及以上版本
  • iOS Safari on iOS 4及以上版本
  • Windows Phone 7及以上版本
• SNI支持以下服务器：
  • Apache 2.2.12及以上版本
  • Apache Traffic Server 3.2.0及以上版本
  • HAProxy 1.5及以上版本
  • IIS 8.0及以上版本
  • lighttpd 1.4.24及以上版本
  • LiteSpeed 4.1及以上版本
  • nginx 0.5.32及以上版本
• SNI 支持以下命令行：
  • cURL 7.18.1及以上版本
  • wget 1.14及以上版本

如果您有其他问题，可以联系汉中创云互联阿里云代理商，为您提供一对一专业全面的技术服务，同时新老阿里云会员，均可享受我公司代理商价格，欢迎咨询！