[历史归档]本文原发布于 cstriker1407.info 个人博客内容为历史存档仅供参考。发布时间2018-04-15 标题TLS简单笔记-SNI(Server Name Indication)分类编程 标签tls·sniTLS简单笔记-SNI参考链接有大量删减。《 https://blog.csdn.net/makenothing/article/details/53292335 》Server Name IndicationSNISNI (Server Name Indication)是用来改善服务器与客户端 SSL (Secure Socket Layer)和 TLS (Transport Layer Security) 的一个扩展。主要解决一台服务器只能使用一个证书(一个域名)的缺点随着服务器对虚拟主机的支持一个服务器上可以为多个域名提供服务因此SNI必须得到支持才能满足需求。SNI产生背景SSL以及TLSSSL的升级版为客户端与服务器端进行安全连接提供了条件。但是由于当时技术限制SSL初期的设计顺应经典的公钥基础设施 PKI(Public Key Infrastructure)设计PKI 认为一个服务器只为一个域名提供服务从而一个服务器上也就只能使用一个证书。这样客户端在发送请求的时候利用DNS域名解析只要向解析到的IP地址服务器地址发送请求然后服务器将自身唯一的证书返回回来交给客户端验证验证通过则继续进行后续通信。然后通过协商好的加密通道获得所需要的内容。这意味着服务器可以在 SSL 的启动动阶段发送或提交证书因为它知道它在为哪个特定的域名服务。随着HTTP 服务器开启虚拟主机支持后每个服务器通过相同的IP地址可以为很多域名提供服务。这种为虚拟主机提供通信安全的简单途径却经常导致使用了错误的数字证书因为服务器端无法知道客户端到底请求的是哪个域名下的服务从而导致浏览器对用户发出警告。不幸的是当设置了 SSL加密服务器在读取HTTP请求里面的域名之前已经向客户端提交了证书也就是已经为默认域提供了服务。但是一个服务器可能为上千个域名提供服务不可能将所有证书都发送给客户端让客户端一一验证找到与请求域名对应的证书。SNI的设计目的是为了让服务器根据请求来决定为哪个域服务这个信息通常从HTTP请求头获得。