开启SNI证书实现多域名访问

操作场景

当您需要在同一个监听器中，根据HTTPS请求域名的不同来选择不同的证书进行认证并将请求分发至不同的后端服务器组时，您可通过开启SNI功能来实现配置多域名HTTPS网站。

SNI（Server Name Indication）是为了解决一个服务器使用域名证书的TLS扩展。开启SNI之后，用户需要添加域名对应的证书，允许客户端在发起SSL握手请求时就提交请求的域名信息，负载均衡收到SSL请求后，会根据域名去查找证书。如果找到域名对应的证书，则返回该证书；如果没有找到域名对应的证书，则返回缺省证书。

约束与限制

仅HTTPS和TLS 监听器，支持开启SNI功能，支持绑定多个证书。
一个HTTPS监听器默认支持配置30个SNI证书，监听器关联的所有SNI证书默认支持的域名总数为30个。

独享型负载均衡的监听器最多支持50个SNI证书，如您有需求，可提交工单进行处理。

前提条件

已创建负载均衡器，具体步骤可参照创建独享型负载均衡器。
已经创建用于SNI证书，具体步骤可参照创建证书。
已经创建HTTPS监听器，具体步骤可参照添加HTTPS监听器。

SNI证书约束

ELB不会自动选择未过期的证书，如果您有证书过期了，需要手动更换或者删除证书，详见绑定/更换证书。
用于SNI的证书，需要指定域名，指定的域名必须与证书中的域名保持一致。
目前支持一个域名可以同时绑定ECC类型的证书和RSA类型的证书，在选择SNI证书时，支持选择同域名绑定的两个证书，在使用时，会优先选择ECC类型的证书。
SNI证书匹配规则：
当证书的域名为*.test.com，那么可支持a.test.com、b.test.com等，不支持a.b.test.com、c.d.test.com等。

且依据最长尾缀匹配：当证书中的域名同时存在*.b.test.com和*.test.com时，那么a.b.test.com会优先匹配到*.b.test.com。
证书示例如图1所示，图中的cer-default为创建HTTPS监听器时绑定的默认证书，cert-test01和cert-test02为新创建的用于SNI的证书。
其中，证书cert-test01填写的域名为www.test01.com、cert-test02填写的域名为www.test02.com。

如果访问负载均衡的域名与SNI证书匹配成功，则会返回SNI的证书认证鉴权。如果匹配失败，则会返回默认证书认证鉴权。
图1 配置证书说明