Apache如何同时配置两张SSL证书实现多域名HTTPS？

在Apache服务器配置中,支持多张SSL证书的场景日益常见，尤其是当网站需要同时支持主域名和多个子域名、或者需要为不同业务配置独立证书时，本文将详细介绍如何在Apache服务器中添加两张SSL证书，涵盖准备工作、配置步骤、常见问题处理及最佳实践，帮助用户实现安全的多证书部署。

准备工作

在开始配置前,需确保以下条件已满足：

1. 环境要求：Apache服务器已启用mod_ssl模块，可通过apache2ctl -M | grep ssl命令检查，若未启用需执行a2enmod ssl并重启服务。
2. 证书文件：两张SSL证书需包含完整的证书链（即服务器证书+中间证书+根证书），且均为受信任CA签发，建议将证书文件统一存放至/etc/ssl/certs/目录（或自定义路径），并确保文件权限为640，仅root用户可读写。
3. 域名匹配：两张证书需分别对应不同的域名或子域名，例如example.com和api.example.com，避免因域名冲突导致配置失败。

配置步骤

创建虚拟主机配置文件

若两张证书对应不同域名,建议为每个域名创建独立的虚拟主机配置文件（如/etc/apache2/sites-available/ssl_domain1.conf和ssl_domain2.conf），若为同一主域名下的不同子域名，可在同一配置文件中通过ServerName和ServerAlias区分。

配置SSL证书

以两个独立虚拟主机为例,配置文件内容如下：
文件1：ssl_domain1.conf

<VirtualHost *:443>
    ServerName domain1.com
    DocumentRoot /var/www/domain1
    SSLEngine on
    SSLCertificateFile /etc/ssl/certs/domain1.crt
    SSLCertificateKeyFile /etc/ssl/private/domain1.key
    SSLCertificateChainFile /etc/ssl/certs/domain1_ca_bundle.crt
</VirtualHost>

文件2：ssl_domain2.conf

<VirtualHost *:443>
    ServerName domain2.com
    DocumentRoot /var/www/domain2
    SSLEngine on
    SSLCertificateFile /etc/ssl/certs/domain2.crt
    SSLCertificateKeyFile /etc/ssl/private/domain2.key
    SSLCertificateChainFile /etc/ssl/certs/domain2_ca_bundle.crt
</VirtualHost>

关键参数说明：

• SSLCertificateFile：指定服务器证书文件路径。
• SSLCertificateKeyFile：指定私钥文件路径（需与证书匹配）。
• SSLCertificateChainFile：指定中间证书链文件（部分CA要求单独配置）。

启用站点并测试配置

执行以下命令启用配置并检查语法：

a2ensite ssl_domain1.conf ssl_domain2.conf
apache2ctl configtest

若显示Syntax OK，则重启Apache服务：

systemctl restart apache2

验证证书生效

通过浏览器访问https://domain1.com和https://domain2.com，查看证书详情是否分别对应正确的域名，也可使用openssl命令行工具验证：

openssl s_client -connect domain1.com:443 -showcerts

检查输出的证书链是否完整且匹配。

常见问题处理

最佳实践

1. 证书管理：使用certbot等工具自动续期证书，避免过期风险，续期后需重启Apache服务加载新证书。
2. 性能优化：对于高并发网站，可启用SSLSessionCache和SSLSessionCacheTimeout提升SSL握手效率。
3. 安全加固：定期更新私钥，禁用弱加密套件（如SSLv3、3DES），通过SSLProtocol all -SSLv3 -TLSv1 -TLSv1.1限制协议版本。
4. 日志监控：启用SSLLogLevel debug记录证书加载问题，调试完成后需改回warn或error避免日志膨胀。

通过以上步骤,用户可成功在Apache服务器中部署两张SSL证书，实现多域名的HTTPS加密访问，配置过程中需注意证书文件路径、权限及域名匹配的准确性，并结合实际业务需求优化安全与性能参数。