如何配置 Apache 支持不同端口的 HTTPS 差异化配置

Apache支持不同端口的HTTPS差异化配置，核心是：为每个HTTPS端口单独监听（Listen）、定义独立<VirtualHost *:PORT>块、使用专属SSL证书与日志路径，并确保模块启用、防火墙放行及证书权限正确。

要让 Apache 支持不同端口的 HTTPS 差异化配置，核心是：
✅ 为每个 HTTPS 端口单独监听（Listen）
✅ 为每个端口+域名组合定义独立 <VirtualHost *:PORT> 块
✅ 每个块使用专属 SSL 证书、密钥、日志路径和网站根目录
✅ 确保模块启用、防火墙放行、证书路径正确

以下是清晰、可落地的操作步骤：

1. 启用必要模块并开放端口

确保以下模块已启用（Ubuntu/Debian 示例）：

• mod_ssl：必须启用，用于 HTTPS 支持
• mod_socache_shmcb（推荐）：提升 SSL 会话缓存性能

执行命令启用：

sudo a2enmod ssl socache_shmcb

编辑 /etc/apache2/ports.conf，添加需监听的 HTTPS 端口（不止 443）：

Listen 443<br>Listen 8443<br>Listen 8444

云服务器或防火墙需同步开放 8443、8444 等端口（如 UFW、iptables、阿里云安全组）。

2. 为每个端口配置独立的 HTTPS 虚拟主机

在 /etc/apache2/sites-available/ 下创建配置文件（如 multi-https.conf），内容示例如下：

<VirtualHost *:443><br>  ServerName prod.example.com<br>  DocumentRoot /var/www/prod<br>  SSLEngine on<br>  SSLCertificateFile /etc/ssl/certs/prod.crt<br>  SSLCertificateKeyFile /etc/ssl/private/prod.key<br>  SSLCertificateChainFile /etc/ssl/certs/prod.ca-bundle<br>  ErrorLog ${APACHE_LOG_DIR}/prod-error.log<br>  CustomLog ${APACHE_LOG_DIR}/prod-access.log combined<br></VirtualHost><br><br><VirtualHost *:8443><br>  ServerName dev.example.com<br>  DocumentRoot /var/www/dev<br>  SSLEngine on<br>  SSLCertificateFile /etc/ssl/certs/dev.crt<br>  SSLCertificateKeyFile /etc/ssl/private/dev.key<br>  # 可选：禁用 TLS 1.0/1.1，仅允许 TLS 1.2+<br>  SSLProtocol all -SSLv3 -TLSv1 -TLSv1.1<br>  SSLCipherSuite ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256<br>  ErrorLog ${APACHE_LOG_DIR}/dev-error.log<br>  CustomLog ${APACHE_LOG_DIR}/dev-access.log combined<br></VirtualHost><br><br><VirtualHost *:8444><br>  ServerName test.example.com<br>  DocumentRoot /var/www/test<br>  SSLEngine on<br>  SSLCertificateFile /etc/ssl/certs/test.pem  # 单文件含证书+链+私钥（PEM 格式）<br>  SSLCertificateKeyFile /dev/null  # 若 PEM 已含私钥，此项可忽略或留空<br>  SSLStrictSNIVHostCheck off  # 如需兼容极老客户端（不推荐生产环境开启）<br>  ErrorLog ${APACHE_LOG_DIR}/test-error.log<br>  CustomLog ${APACHE_LOG_DIR}/test-access.log combined<br></VirtualHost>

⚠️ 注意：

• 每个 <VirtualHost *:PORT> 必须对应一个 Listen PORT；否则启动报错
• SSLCertificateFile 和 SSLCertificateKeyFile 路径必须真实存在且 Apache 可读（权限建议 644 和 600）
• 不同端口可复用同一域名（如 dev.example.com:8443 和 dev.example.com:8444），但需靠端口区分——浏览器访问时必须显式带端口号（https://dev.example.com:8443）

3. 启用配置并验证

启用站点并重启服务：

sudo a2ensite multi-https.conf<br>sudo systemctl reload apache2

检查配置语法是否正确：

sudo apache2ctl configtest

验证 HTTPS 连接（终端测试）：

# 检查 8443 端口证书信息<br>openssl s_client -connect dev.example.com:8443 -servername dev.example.com 2>/dev/null | openssl x509 -noout -subject -issuer<br><br># 测试能否建立 TLS 握手<br>curl -I --insecure https://test.example.com:8444

浏览器访问时注意：必须输入完整 URL（含端口号），例如：
https://dev.example.com:8443/ —— 浏览器不会自动补全非标准 HTTPS 端口。

4. 补充建议（提升安全性与可维护性）

• 避免混用 HTTP/HTTPS 端口逻辑：不要在同一个 <VirtualHost *:8080> 中同时配 HTTP 和 HTTPS；HTTPS 必须走 SSLEngine on 的 *:PORT 块
• 证书管理建议：对开发/测试环境，可用自签名证书或 Let’s Encrypt 的 staging 环境申请；生产环境务必使用有效、受信证书
• 日志分离很重要：每个端口虚拟主机用独立日志路径，便于排查问题（如某端口被扫描、证书过期告警）
• 不依赖 SNI 的场景慎用：若需支持 Windows XP / IE6 等旧客户端，应避免多域名共用同一 IP+端口（SNI 不被支持），此时应改用不同 IP 或不同端口 + 显式域名绑定