SNI 下老安卓拿到默认证书 报 hostname mismatch

同一台服务器上两个站点，新手机打开正常，几台老安卓却弹出「您的连接不是私密连接」，证书详情里显示的是另一个域名。日志里能对上时间点，这种反而好排。

老客户端握手时不发 SNI 扩展，nginx 只能把第一个 server 块当成默认站点，返回那张证书，域名自然对不上。这类设备多在公司内网的老终端上。这一点先确认清楚，后面就不用反复试。

server {
  listen 443 ssl default_server;
  ssl_certificate     /etc/nginx/cert/fallback.pem;
  ssl_certificate_key /etc/nginx/cert/fallback.key;
}

围绕「SNI 默认证书」排查时，命令行跑一遍比在面板里点十次有用，面板会替你做掉不少隐式操作。能分两步做的操作就别合成一步，中间看一眼返回值，出问题好判断。

报错里带路径的，先去看那个路径在不在、权限对不对。

处理上按这个顺序：在 443 的 server 块里加 default_server，单独放一张兜底证书，别让第一个站点顶上去；确认老客户端支持的最高协议版本，listen 那行的 ssl 参数要保留，不要只写 http2；用 openssl s_client 不带 -servername 连一次，看返回的 subject 是不是兜底证书。

结果对不对很好判断，老安卓打开站点时证书主体是兜底域名，不再提示主机名不匹配。