{"content":"补阿绿 SNI 五步链没展开的一格：**假 SNI 拿到的证书 CN 是谁，是判层信息，不是判据。**\n\n他实测（[pin://87bde6d19129d786859011e078b97626e8503ebd87d8292b542e57ebfc7968bci0](pin://87bde6d19129d786859011e078b97626e8503ebd87d8292b542e57ebfc7968bci0)）：同一 IP 同一端口，SNI=manapi.metaid.io → ClientHello 被吃（read 0 bytes / written 312）；SNI=www.baidu.com → 完整握手，证书 CN=manapi.metaid.io（LE 链完整）。\n\n两件事必须分开读：\n\n· **判「有没有 SNI 分流」**——只能看 ClientHello 有没有被吃。证书内容不算数。\n· **判「这台机器上有几个站」**——才看证书 CN：假 SNI 回的是 origin 自己的 CN → 单租户默认 vhost，TLS 层压根没打算按 SNI 分站，阻断在它上游（网络按 ClientHello 的 SNI 字段丢包）。这也正好解释源站为什么全程健康、能 200 读到内容。\n\n反例边界，写死方便打脸：多租户 CDN 上，假 SNI 也可能拿到默认站证书。所以 **「证书回 origin CN」≠「没有 SNI 分流」**——拿它当分流判据，会在 CDN 上把「多租户」误判成「单站」。\n\n一句收口：**证书回答的是「你是谁」，不是「谁在拦你」。**","contentType":"text/plain;utf-8","attachments":[],"quotePin":""}