Apache配置多个SSL证书，一个站点如何绑定多个HTTPS域名？

在当今互联网环境中，网站的安全性和用户体验至关重要，而HTTPS协议已成为标配，Apache服务器作为最流行的Web服务器之一，支持配置多个SSL证书以满足不同域名、子域名的安全需求，本文将详细介绍如何在Apache服务器上配置多个SSL证书，包括基于IP地址、基于域名（SNI）以及通配符证书的实现方法。

基于IP地址的多SSL证书配置

每个SSL证书都对应一个唯一的IP地址，这种配置方式适用于需要为不同IP地址分配独立证书的场景，确保服务器拥有多个独立IP地址,然后在Apache配置文件中为每个IP地址创建独立的虚拟主机段。

配置步骤：

1. 为每个IP地址分配独立的<VirtualHost>块,并指定对应的SSL证书路径。
2. 在每个<VirtualHost>块中配置SSLEngine on、SSLCertificateFile、SSLCertificateKeyFile等指令。

示例配置：

<VirtualHost 192.168.1.100:443> SSLEngine on SSLCertificateFile /path/to/cert1.crt SSLCertificateKeyFile /path/to/key1.key ServerName example1.com DocumentRoot /var/www/example1 </VirtualHost> <VirtualHost 192.168.1.101:443> SSLEngine on SSLCertificateFile /path/to/cert2.crt SSLCertificateKeyFile /path/to/key2.key ServerName example2.com DocumentRoot /var/www/example2 </VirtualHost>

局限性： 需要为每个域名分配独立IP地址，成本较高且IP资源有限,目前已较少使用。

基于SNI（Server Name Indication）的多SSL证书配置

SNI技术允许一个IP地址上托管多个HTTPS虚拟主机，每个域名使用不同的SSL证书，这是目前最常用的多证书配置方式,要求服务器和客户端均支持TLS扩展。

配置步骤：

1. 确保Apache已启用mod_ssl和mod_sni模块（通常mod_ssl已内置SNI支持）。
2. 为每个域名创建独立的<VirtualHost *:443>块,并配置对应的SSL证书。

示例配置：

<VirtualHost *:443> SSLEngine on SSLCertificateFile /path/to/cert1.crt SSLCertificateKeyFile /path/to/key1.key ServerName example1.com DocumentRoot /var/www/example1 </VirtualHost> <VirtualHost *:443> SSLEngine on SSLCertificateFile /path/to/cert2.crt SSLCertificateKeyFile /path/to/key2.key ServerName example2.com DocumentRoot /var/www/example2 </VirtualHost>

验证SNI支持： 使用openssl s_client -connect example.com:443 -servername example.com命令可测试客户端是否支持SNI。

通配符证书与多域名证书配置

对于子域名或多个相关域名，可使用通配符证书或多域名（SAN）证书简化配置。

通配符证书

• 支持格式：*.example.com（如www.example.com、api.example.com）。
• 配置方式与单域名证书相同，只需在ServerName中使用通配符或具体子域名。

示例配置：

<VirtualHost *:443> SSLEngine on SSLCertificateFile /path/to/wildcard.crt SSLCertificateKeyFile /path/to/wildcard.key ServerName *.example.com DocumentRoot /var/www/wildcard </VirtualHost>

多域名证书（SAN）

• 单个证书包含多个域名（如example1.com、example2.com）。
• 配置时需在<VirtualHost>块中指定不同的ServerName,但共享同一套证书文件。

示例配置：

<VirtualHost *:443> SSLEngine on SSLCertificateFile /path/to/san.crt SSLCertificateKeyFile /path/to/san.key ServerName example1.com DocumentRoot /var/www/example1 </VirtualHost> <VirtualHost *:443> SSLEngine on SSLCertificateFile /path/to/san.crt SSLCertificateKeyFile /path/to/san.key ServerName example2.com DocumentRoot /var/www/example2 </VirtualHost>

配置注意事项与最佳实践

1. 证书路径与权限：确保证书和私钥文件路径正确，且私钥文件权限设置为600（仅所有者可读写）。
2. 证书链完整性：配置时需包含完整的证书链（中级证书和根证书），可通过SSLCertificateChainFile或合并到证书文件中。
3. 协议与加密套件：推荐使用TLS 1.2/1.3，禁用弱加密套件，可通过SSLProtocol和SSLCipherSuite指令配置。
4. 重定向HTTP到HTTPS：为每个虚拟主机配置HTTP到HTTPS的重定向规则,确保所有流量均通过加密传输。

常见指令对照表：

| 指令 | 作用 | 示例 |

|——|——|——|

| SSLEngine on | 启用SSL模块 | SSLEngine on |

| SSLCertificateFile | 指定证书文件路径 | SSLCertificateFile /etc/ssl/certs/site.crt |

| SSLCertificateKeyFile | 指定私钥文件路径 | SSLCertificateKeyFile /etc/ssl/private/site.key |

| ServerName | 设置虚拟主机域名 | ServerName example.com |

| SSLProtocol | 配置支持的SSL/TLS协议 | SSLProtocol all -SSLv3 -TLSv1 -TLSv1.1 |

通过合理配置多SSL证书，可有效提升网站的安全性和灵活性，在实际操作中，需根据服务器环境和业务需求选择合适的配置方式，并定期检查证书有效期,确保证书及时更新。