Apache服务器出现421错误时如何排查证书与域名配置

确认请求的域名与证书匹配

检查抓取诊断工具或日志中显示的Host头信息，确认请求的目标域名是否与服务器上配置的SSL证书域名一致。如果使用了通配符证书，必须确保请求的域名在证书的授权范围内。例如，请求Host为abc.example.com，而服务器仅配置了def.example.com的证书，就会触发421错误。

在浏览器或工具中直接访问该域名，查看是否出现421状态码。如果直接访问正常，说明问题可能出在特定的抓取路径或代理设置上。确认请求的URI scheme是否为HTTPS，因为HTTP和HTTPS混合使用时，证书配置错误更容易导致421响应。

Apache服务器在处理多个域名时，如果启用了TLS Server Name Indication（SNI）但配置不正确，可能会将请求发送到错误的虚拟主机。查看Apache配置文件中的VirtualHost指令，确保每个域名都有独立的SSL配置块，且Listen指令正确监听了443端口。

如果服务器复用了同一个TCP连接处理多个域名的请求，且证书不匹配，服务器会返回421。尝试关闭连接复用功能或重新建立新的连接进行测试。使用curl命令添加-I参数测试，观察响应头中的Server字段，确认是否为Apache服务器。

登录服务器检查SSL证书文件（如.crt）和私钥文件（如.key）是否存在，且路径配置正确。证书文件必须与私钥文件匹配，否则服务器无法建立安全连接。检查证书是否过期或未正确安装，过期的证书会导致握手失败并返回421。

使用openssl命令行工具验证证书链是否完整。执行openssl s_client -connect 域名:443 -servername 域名命令，查看证书信息是否正确显示。如果命令输出中提示证书验证失败，说明证书配置有问题，需要重新生成或安装证书。

确认Apache虚拟主机配置中是否正确设置了ServerName和ServerAlias。如果配置文件中存在多个ServerName指向同一个证书，但请求的Host头不匹配，服务器可能无法正确响应。检查是否有错误的重定向规则将HTTP请求重定向到HTTPS，但重定向过程中丢失了Host头信息。

查看Apache错误日志文件（通常是error.log），搜索421错误的相关记录。日志中通常会记录具体的请求信息，包括请求的Host头和SSL握手失败的细节。根据日志信息调整配置文件，确保每个虚拟主机的配置独立且正确。