我们在新的Apache服务器构建中也遇到了这个错误。

在我们的案例中，修复方法是在httpd.conf中定义一个ServerAlias，它对应于Java试图连接到的主机名。我们的ServerName被设置为内部主机名。我们的SSL证书使用外部主机名，但这不足以避免警告。

为了帮助调试，你可以使用ssl命令:

Openssl s_client -servername <hostname> -connect <hostname>:443 -state

如果该主机名有问题，那么它将在输出顶部附近打印以下消息:

SSL3警告读:警告:无法识别的名称

我还应该指出，在使用该命令连接到内部主机名时，即使它不匹配SSL证书，也没有得到该错误。

Use:

System.setProperty(“jsse。enableSNIExtension”、“假”); 重新启动Tomcat(重要)

它应该是有用的。在Apache HttpClient 4.4中重试SNI错误-我们提出的最简单的方法(参见HttpClient -1522):

public class SniHttpClientConnectionOperator extends DefaultHttpClientConnectionOperator {

    public SniHttpClientConnectionOperator(Lookup<ConnectionSocketFactory> socketFactoryRegistry) {
        super(socketFactoryRegistry, null, null);
    }

    @Override
    public void connect(
            final ManagedHttpClientConnection conn,
            final HttpHost host,
            final InetSocketAddress localAddress,
            final int connectTimeout,
            final SocketConfig socketConfig,
            final HttpContext context) throws IOException {
        try {
            super.connect(conn, host, localAddress, connectTimeout, socketConfig, context);
        } catch (SSLProtocolException e) {
            Boolean enableSniValue = (Boolean) context.getAttribute(SniSSLSocketFactory.ENABLE_SNI);
            boolean enableSni = enableSniValue == null || enableSniValue;
            if (enableSni && e.getMessage() != null && e.getMessage().equals("handshake alert:  unrecognized_name")) {
                TimesLoggers.httpworker.warn("Server received saw wrong SNI host, retrying without SNI");
                context.setAttribute(SniSSLSocketFactory.ENABLE_SNI, false);
                super.connect(conn, host, localAddress, connectTimeout, socketConfig, context);
            } else {
                throw e;
            }
        }
    }
}

and

public class SniSSLSocketFactory extends SSLConnectionSocketFactory {

    public static final String ENABLE_SNI = "__enable_sni__";

    /*
     * Implement any constructor you need for your particular application -
     * SSLConnectionSocketFactory has many variants
     */
    public SniSSLSocketFactory(final SSLContext sslContext, final HostnameVerifier verifier) {
        super(sslContext, verifier);
    }

    @Override
    public Socket createLayeredSocket(
            final Socket socket,
            final String target,
            final int port,
            final HttpContext context) throws IOException {
        Boolean enableSniValue = (Boolean) context.getAttribute(ENABLE_SNI);
        boolean enableSni = enableSniValue == null || enableSniValue;
        return super.createLayeredSocket(socket, enableSni ? target : "", port, context);
    }
}

and

cm = new PoolingHttpClientConnectionManager(new SniHttpClientConnectionOperator(socketFactoryRegistry), null, -1, TimeUnit.MILLISECONDS);

有一种更简单的方法，您可以使用自己的HostnameVerifier隐式信任某些连接。问题来自Java 1.7，其中添加了SNI扩展，而您的错误是由于服务器配置错误造成的。

你可以用“-Djsse”。enableSNIExtension=false”在整个JVM上禁用SNI或阅读我的博客，我解释了如何在URL连接上实现自定义验证器。

你可以通过系统属性jsse.enableSNIExtension=false禁用发送SNI记录。

如果可以更改代码，则使用SSLCocketFactory#createSocket()(不带主机参数或使用连接的套接字)会有所帮助。在这种情况下，它不会发送server_name指示。

不幸的是，您不能向jarsigner.exe工具提供系统属性。

我已经提交了缺陷7177232，引用了@eckes的缺陷7127374，并解释了为什么它被错误地关闭。

我的缺陷具体是关于对jarsigner工具的影响，但它可能会导致他们重新打开其他缺陷并正确地解决问题。

更新:实际上，它证明你可以提供系统属性Jarsigner工具，它只是不在帮助消息。使用jarsigner -J-Djsse.enableSNIExtension=false