负载均衡证书双域名访问

两种实现方式区分

1. 方式 A（推荐，两张完全独立证书，不同域名）：多个 ssl‑server‑policy + SNI 绑定到同一个虚服务器 每个域名单独一套ssl‑server‑policy，每个 policy 引用各自的pki‑domain（各自导入自己域名证书）；虚服务器视图下通过sni参数进行域名匹配。

注意：一个 ssl‑server‑policy 只能绑定一个 pki‑domain；一条虚服务器下可以多次执行ssl‑server‑policy xxx sni 域名绑定多条策略H3C。

2. 方式 B：单 ssl‑server‑policy 里面写两个 pki‑domain pki‑domain domain1 domain2，该方式只适用于一张证书包含多个 SAN 多域名证书（同一张证书文件），不能用于两张完全独立不同证书文件，不能用来解决两个完全不同域名的两份独立证书场景H3C。

❗你的场景：两个域名分别是两份独立证书，不能使用同一个 ssl‑server‑policy 配置两个 pki‑domain，必须用 SNI 多策略方式 A。

完整配置示例

重要约束 & 坑点

1. Web 页面看不到 SNI 配置，只能 CLI 查看修改；修改 ssl 策略后，需要关闭再打开虚服务器，新策略才生效H3C。

2. 客户端浏览器必须支持 SNI（现代浏览器全部支持；老旧 IE 不支持 SNI）；客户端没有携带 SNI 字段访问时，虚服务器不会匹配上面任意 sni 策略，握手失败。

可选补充一条不带 sni 的默认 ssl‑policy，用于兼容无 SNI 旧客户端：

不带 sni 参数的这条作为 fallback 默认证书，客户端不带 SNI 时返回该证书。

3. 四层 SSL‑PROXY 类型虚服务器不支持 SNI 多 ssl‑policy，必须是HTTPS 七层 type https 虚服务器。

查看验证命令

排查故障要点

1. 域名大小写不敏感；支持通配符域名sni *.***.***；
2. 证书链要完整，开启certificate‑chain‑sending enable，避免部分浏览器报证书不信任；
3. 两套证书必须分别导入各自 pki‑domain，不要把两份证书导入同一个 pki‑domain；
4. 测试：Chrome 开发者工具→Security 查看握手返回的证书，访问***.***返回 A 证书，访问***.***返回 B 证书。