Apache通配符证书导致421错误时如何通过Host头确认域名
当服务器返回421错误时，可以通过检查请求中的Host头与服务器证书的域名是否匹配来确认问题。
检查请求中的Host头与证书域名是否匹配
421 Misdirected Request错误表示请求被发送到了一个无法为该请求URI中的方案和权威组合产生响应的服务器。这种情况通常发生在服务器配置错误时，例如使用了通配符证书但未正确配置SNI。在排查时，首先需要确认请求中的Host头与服务器证书的域名是否匹配。如果Host头指向的域名与证书中包含的域名不一致，服务器可能无法识别该连接，从而返回421状态码。
具体操作是查看抓取诊断或服务器日志中的请求行，提取Host头的内容。例如，请求可能包含Host: abc.example.com。随后，检查服务器配置的SSL证书是否包含abc.example.com。如果证书仅包含*.example.com，而服务器尝试使用该证书处理abc.example.com的请求，且未正确协商SNI，就会触发421错误。这种不匹配导致服务器认为该连接无法处理当前请求，因此拒绝响应。
确认SNI配置是否正确处理了多域名连接
在多个域名共享同一个IP和端口的情况下，服务器需要通过Server Name Indication (SNI)协议来区分不同的SSL连接。如果服务器配置了通配符证书，但SNI配置不正确，可能会导致连接复用错误。当客户端复用连接请求不同域名时，服务器可能无法识别当前连接对应的证书，从而返回421错误。这意味着服务器没有为该组合的方案和权威配置正确的响应。
为了验证这一点，可以检查服务器的TLS配置文档，确认SNI是否正确启用。例如，Apache服务器文档中提到，在通配符证书场景下，必须确保服务器能够根据SNI协商正确的证书。如果服务器在处理Host: abc.example.com的请求时，错误地使用了def.example.com的证书，或者未正确协商证书，就会返回421。此时，需要调整服务器配置，确保SNI正确处理多域名连接。
通过响应头确认错误的具体原因
当服务器返回421错误时，响应头中通常包含Server字段，可以用来确认服务器类型。例如，响应头可能显示Server: Apache/2.4.1 (Unix)。这表明问题可能出在Apache服务器的配置上。结合Host头和证书信息，可以进一步确认是否是通配符证书配置错误导致的。如果Host头与证书域名不匹配，且服务器类型为Apache，那么很可能是SNI配置问题。
此外，MDN文档中提到，客户端可以尝试在不同的连接上重试请求。如果更换连接后问题解决，说明当前连接的SNI配置确实存在问题。因此，在排查时，除了检查Host头和证书匹配外，还可以尝试更换连接，观察错误是否消失。如果错误消失，说明问题出在连接复用或SNI协商上，需要进一步调整服务器配置。
验证修复后的连接状态
修复配置后，需要重新测试请求，确认421错误是否消失。具体操作是再次发送请求，并检查响应状态码。如果状态码变为200或其他正常状态码，说明问题已解决。此时，可以确认之前的421错误是由于Host头与证书域名不匹配或SNI配置错误导致的。验证时，应确保Host头与证书域名完全匹配，且SNI配置正确。
如果修复后仍然返回421错误，可能需要进一步检查服务器的TLS配置文档，确认是否还有其他配置问题。例如，检查是否启用了HTTP/2，以及HTTP/2是否正确处理SNI。如果HTTP/2配置不当，也可能导致421错误。通过逐步排查Host头、证书匹配、SNI配置和HTTP/2配置，可以最终确认并解决421错误。
资料与延伸阅读
你可以通过以下原始资料核对文中概念，并继续深入阅读。