HTTPS站点多域名共用证书时如何通过421状态码排查证书配置错误
当HTTPS站点使用通配符证书且多域名共用连接时，服务器可能返回421状态码，这通常意味着证书与域名不匹配。
确认421状态码与证书配置的关系
HTTP 421 Misdirected Request状态码表示请求被发送到了无法处理该请求的服务器。在HTTPS场景下，这通常发生在服务器配置了通配符证书，但客户端请求的域名与证书中允许的域名不匹配。例如，服务器配置了*.example.com，但客户端请求的是abc.example.com，且连接被复用。服务器无法为该特定的域名组合提供响应，因此返回421。这并非网络故障，而是服务器对TLS握手或SNI（服务器名称指示）配置的严格校验结果。
百度搜索抓取工具在访问网站时，如果遇到此状态码，说明爬虫与服务器之间的TLS连接建立失败或证书验证未通过。这通常不是简单的死链，而是服务器配置层面的拒绝。爬虫会根据此状态码判断服务器拒绝服务，而非资源不存在。因此，在排查时，首先要确认服务器日志中是否频繁出现此状态码，并检查服务器是否正确配置了SNI以支持多域名访问。
检查通配符证书与域名的匹配情况
排查的第一步是验证服务器上安装的证书是否包含当前请求的域名。如果服务器使用通配符证书（如*.example.com），它理论上应该支持所有子域名。然而，如果服务器配置不当，可能只允许特定的子域名或IP地址使用该证书。例如，Apache服务器在处理SNI时，如果配置文件中限制了特定域名的访问，可能会对其他域名返回421。需要检查证书链是否完整，以及服务器是否正确加载了证书文件。
可以通过浏览器开发者工具或命令行工具（如curl）模拟百度爬虫的请求。在请求头中明确指定Host头为目标域名，并检查服务器返回的状态码。如果返回421，说明服务器无法识别该Host头对应的证书。此时应检查服务器的SSL/TLS配置文件，确认证书的Subject和SAN（Subject Alternative Name）字段是否包含目标域名。确保服务器允许该域名通过SNI进行连接。
验证服务器对SNI的支持与配置
SNI（Server Name Indication）是HTTPS多域名访问的关键技术。它允许客户端在建立TLS连接时，在ClientHello消息中发送目标域名，以便服务器选择正确的证书。如果服务器未正确配置SNI，或者客户端未发送SNI，服务器可能会使用默认证书或错误的证书，导致验证失败并返回421。对于百度爬虫，确保其发送正确的SNI是服务器端的责任。如果服务器配置为仅支持特定IP或特定域名，未配置SNI，则其他域名请求将无法正常工作。
检查服务器日志是验证SNI配置的有效方法。日志中通常会记录客户端发送的SNI值。如果日志显示爬虫发送了正确的域名，但服务器仍返回421，说明服务器在处理该域名时存在逻辑错误。例如，Apache服务器可能配置了VirtualHost，但未正确映射到证书文件。应检查Apache的配置文件，确保每个VirtualHost都正确指定了SSLCertificateFile和SSLCertificateKeyFile，并且SSLEngine已开启。
根据421状态码执行修复操作
修复421错误的核心是确保服务器能够为每个请求的域名提供正确的证书。如果发现证书不匹配，需要更新证书，确保其包含所有目标域名。如果证书匹配但服务器仍返回421，则需要调整服务器配置。对于Apache服务器，确保VirtualHost配置正确，并且SSLCACertificateFile（如果使用CA证书）配置无误。重启服务器服务以使配置生效，然后重新测试。
修复完成后，应再次使用工具验证结果。发送请求并检查状态码是否变为200或其他正常状态。如果状态码恢复正常，说明问题已解决。如果问题依旧，可能需要检查防火墙或负载均衡器是否干扰了SNI的传递。确保服务器能够正确接收和处理SNI，并且证书链完整且有效。通过这一系列操作，可以确保百度爬虫能够顺利访问网站，避免因证书配置错误导致的抓取失败。
资料与延伸阅读
你可以通过以下原始资料核对文中概念，并继续深入阅读。