如何为 Apache 配置不同品牌的多个 SSL 证书

可以为Apache配置多个不同品牌的SSL证书，关键在于每个证书必须对应其合法签发的域名，并在独立的<VirtualHost *:443>块中完整配置SSLEngine、证书文件路径、私钥及证书链，且ServerName须与证书域名严格匹配；跨品牌部署需确保权限（私钥600）、路径正确、证书链完整，并依赖SNI协议。

可以为 Apache 配置多个不同品牌的 SSL 证书，关键不是品牌本身，而是每个证书必须对应其合法签发的域名，并在独立的虚拟主机（<VirtualHost *:443>）中明确声明。Apache 不限制证书来源（Let’s Encrypt、DigiCert、GlobalSign、阿里云等），只要证书链完整、私钥匹配、路径正确，就能共存运行。

确认每个证书覆盖的域名范围

不同品牌证书对域名的约束逻辑一致，需严格匹配：

• 单域名证书（如 DigiCert 签发的 shop.example.com）：仅可用于该精确域名，www.example.com 或 api.example.com 不适用；
• 通配符证书（如 Let’s Encrypt 的 *.api.example.com）：覆盖所有一级子域（v1.api.example.com、v2.api.example.com），但不包含 api.example.com 根域名或 dev.v1.api.example.com；
• SAN 多域名证书（如 GlobalSign 签发，含 admin.org、cdn.org、mail.org）：必须在证书的 Subject Alternative Name 字段中显式列出全部域名，缺一不可。

验证方式：openssl x509 -in cert.pem -text -noout | grep -A1 "Subject Alternative Name"，确保输出中包含你当前要配置的 ServerName。

为每个域名/子域创建独立的 VirtualHost 块

不能把多个证书“塞进”同一个 <VirtualHost>，也不能省略任一证书参数。每个站点必须有完整且专属的 SSL 指令集：

• 每个块都必须写 SSLEngine on；
• SSLCertificateFile、SSLCertificateKeyFile、SSLCertificateChainFile 三者路径必须分别指向该品牌证书对应的真实文件；
• ServerName 必须与证书中任一匹配域名完全一致（区分 www 和非 www）；
• 推荐使用绝对路径，例如 /etc/ssl/certs/shop_digicert.crt、/etc/ssl/private/shop.key、/etc/ssl/certs/shop_digicert_chain.pem。

注意权限、路径与兼容性细节

跨品牌证书部署失败，往往卡在基础环节而非品牌差异：

• 私钥权限必须是 600（chmod 600 /path/to/key.pem），否则 Apache 启动报错或 TLS 握手失败；
• 确保 Apache 运行用户（如 www-data 或 apache）对证书目录有读取权限，必要时用 chown root:www-data /etc/ssl/certs/ + chmod 750；
• 部分品牌（如早期 Symantec、部分国密证书）可能依赖特定中间链格式，若浏览器提示“证书不受信任”，优先检查 SSLCertificateChainFile 是否缺失或顺序错误；
• 所有配置均依赖 SNI 协议，Apache 2.2.12+ 默认支持，但老旧客户端（如 Windows XP + IE6）无法识别，生产环境需评估兼容要求。

启用并验证多证书生效

完成配置后执行标准流程：

• 运行 apachectl configtest 或 apache2ctl -t 确认语法无误；
• 重启服务：systemctl restart apache2（Debian/Ubuntu）或 systemctl restart httpd（RHEL/CentOS）；
• 逐个访问各域名的 HTTPS 地址，用浏览器地址栏锁图标 + 点击查看证书信息，确认显示的是对应品牌和域名；
• 命令行验证：curl -Iv https://shop.example.com 2>&1 | grep "subject:" 和 openssl s_client -connect admin.org:443 -servername admin.org | openssl x509 -noout -issuer 可快速比对证书归属。