我正在为 Apache 设置几个不同的 SSL 证书，这些证书用于驻留在同一服务器上的不同域（因此共享相同的 IP 地址）。
使用Qualys SSL Test，我发现有些客户端（即BingBot as of december 2013）不支持SNI 扩展。
所以我正在考虑制作一个可以收集此类客户端请求的特殊默认 Web 应用程序，但我如何模拟这些客户端？
我在 Windows 8 上，无法访问 Linux 机器，如果这很重要的话。
【问题讨论】：
您可以使用最常用的 SSL 库 OpenSSL。 Windows 二进制文件可供下载。
openssl s_client -connect domain.com:443 命令非常适合从客户端测试 SSL 连接。默认不支持 SNI。您可以附加 -servername domain.com 参数以启用 SNI。
【讨论】：
如果您使用的是 OpenSSL 1.1.0 或更早版本，请使用openssl s_client -connect $ip:$port，OpenSSL 不会启用 SNI 扩展
如果您使用的是 OpenSSL 1.1.1，则需要将 -noservername 标志添加到 openssl s_client。
【讨论】：
类似openssl的s_client是gnutls-cli
gnutls-cli --disable-sni www.google.com
【讨论】：
你可以安装Strawberry Perl，然后使用下面的脚本来模拟一个不支持SNI的客户端：
use strict;
use warnings;
use LWP::UserAgent;
my $ua = LWP::UserAgent->new(ssl_opts => {
# this disables SNI
SSL_hostname => '',
# These disable certificate verification, so that we get a connection even
# if the certificate does not match the requested host or is invalid.
# Do not use in production code !!!
SSL_verify_mode => 0,
verify_hostname => 0,
});
# request some data
my $res = $ua->get('https://example.com');
# show headers
# pseudo header Client-SSL-Cert-Subject gives information about the
# peers certificate
print $res->headers_as_string;
# show response including header
# print $res->as_string;
通过将 SSL_hostname 设置为空字符串，您可以禁用 SNI，禁用此行会再次启用 SNI。
【讨论】：
使用特殊的默认 Web 应用程序的方法根本行不通。
您不能这样做，因为所述受限客户端不仅会打开不同的页面，而且会完全失败。
假设您有一个“默认”虚拟主机，非 SNI 客户端可以正常打开。
您还有一个额外的虚拟主机，应该由支持 SNI 的客户端打开。
显然，这两个主机名必须不同（例如，default.example.com 和 www.example.com），否则 Apache 或 nginx 将不知道要显示哪个站点到哪个连接客户端。
现在，如果非 SNI 客户端尝试打开 https://www.example.com，他将收到来自 default.example.com 的证书，这会给他一个证书错误。这是一个重要的警告。
解决此错误的方法是制作一个包含www.example.com 和default.example.com 的SAN（多域）证书。然后，如果一个非 SNI 客户端尝试打开https://www.example.com，他将获得一个有效的证书，但即便如此，他的Host: 标头仍将指向www.example.com，并且他的请求将不会被路由到@ 987654330@ 转至www.example.com。
如您所见，您要么完全阻止非 SNI 客户端，要么将它们转发到预期的虚拟主机。 默认网络应用程序没有明智的选择。
【讨论】：
使用 Java HTTP 客户端，您可以通过设置系统属性 jsse.enableSNIExtension=false 来禁用 SNI 扩展。
【讨论】：