JEP 114: TLS Server Name Indication (SNI) Extension | TLS 服务器名称指示（SNI）扩展

原文

摘要

增加对 TLS 服务器名称指示（SNI）扩展的支持，以允许基于 SSL/TLS 协议的更灵活的安全虚拟托管和虚拟机基础架构。

由于 TLS 协议的限制，如果没有 SNI 扩展，HTTPS 服务器无法在虚拟托管基础架构和虚拟机基础架构中托管，其中多个域共享相同的 IP 地址。在云计算时代，这个问题变得更加严重。

SunJSSE 从 JDK 7 开始默认在客户端启用了 SNI 扩展。我们需要在 JDK 8 中支持服务器端的 SNI 扩展，以支持虚拟托管和云计算市场。

几乎所有主要的浏览器都支持 SNI 扩展（来自 Wikipedia）：

Internet Explorer 7（Vista 或更高版本，不包括 XP）或更高版本
Mozilla Firefox 2.0 或更高版本
Opera 8.0 或更高版本（必须启用 TLS 1.1 协议）
Opera Mobile 在 Android 上至少为 10.1 beta 版本
Google Chrome（Vista 或更高版本。Chrome 6 或更高版本上的 XP，Chrome 5.0.342.1 或更高版本上的 OS X 10.5.7 或更高版本）
Safari 2.1 或更高版本（Mac OS X 10.5.6 或更高版本和 Windows Vista 或更高版本）
Apple iOS 4.0 或更高版本上的 MobileSafari
Windows Phone 7
Maemo

以下 Web 服务器支持 SNI 扩展（来自 Wikipedia）：

定义接口，以便为特定的服务器名称指示选择特定的密钥管理器和信任管理器。
对于虚拟托管基础架构，即在同一平台上托管具有相同 IP 地址和不同主机名的多个服务器，不同的服务器应使用不同的密钥管理器和信任管理器。
增加根据特定服务器名称指示将连接委托给虚拟机的能力。
对于虚拟机基础架构，即在不同虚拟机中托管具有不同主机名但具有相同主机 IP 地址的不同服务器，主机应该能够根据特定的服务器名称指示将 SSL/TLS 连接委托给目标虚拟机。

为了在 Java 计算环境中解决 TLS 问题，许多 ISP 不得不为每个 TLS/HTTPS 服务器单独分配一个新的 IP 地址，或者切换到使用其他 TLS 实现作为代理。