Go TLS 客户端没有 SNI 会怎样

Go TLS 客户端没有 SNI 时，结果不只有“服务器选了默认证书”这一种。真正要看的是 tls.Config.ServerName 是否为空、它是域名还是 IP，以及客户端是否关闭了证书校验。Go 的 ServerName 同时服务于两件事：校验证书中的主机名，并在它是域名时放进 ClientHello 的 SNI 扩展，帮助服务器选择虚拟主机。

官方资料：https://pkg.go.dev/crypto/tls

一句话结论：默认安全模式下，Go 客户端没有 ServerName 会在握手前报错；ServerName 是 IP 时通常不会发送 SNI，但仍可按 IP SAN 校验证书；测试内网地址时，应把真实域名写入 ServerName，而不是把 InsecureSkipVerify 当成补丁。

先分清 SNI、连接地址和证书校验

排查“没有 SNI”时，先把三个概念拆开。TCP 连接地址决定数据包发往哪个 IP 和端口；ServerName 决定客户端要验证哪个名字，并在条件满足时决定 SNI；服务端收到 SNI 后，可能据此选择证书、路由或 TLS 配置。三者可以相同，也可以不同。

ServerName 为空时，默认行为是什么

在默认校验模式下，Go 会拒绝一个既没有 ServerName、又没有明确跳过校验的客户端配置。这个错误发生在构造 ClientHello 的阶段，甚至早于“服务器返回了哪张证书”的讨论。

package main

import (
	"crypto/tls"
	"fmt"
)

func makeConfig() *tls.Config {
	return &tls.Config{
		// 不填 ServerName 且保持默认校验时，Go 无法确定证书要验证的主机名。
	}
}

func main() {
	cfg := makeConfig()
	conn := tls.Client(nil, cfg)
	if err := conn.Handshake(); err != nil {
		// 示例只展示错误边界；真实代码还要先提供已建立的 net.Conn。
		fmt.Println(err)
	}
}

在实际网络代码里更常见的是：

package main

import (
	"crypto/tls"
	"fmt"
)

func dialWithoutName(addr string) error {
	// 这里保留默认安全校验，故意演示缺少 ServerName 的配置错误。
	_, err := tls.Dial("tcp", addr, &tls.Config{})
	if err != nil {
		return fmt.Errorf("TLS 连接失败: %w", err) // 上层可据此区分配置错误和网络错误。
	}
	return nil
}

因此，看到类似 either ServerName or InsecureSkipVerify must be specified 的错误时，第一步是补充真实的校验名称，而不是立刻设置 InsecureSkipVerify: true。后者只是绕过检查，并没有解决服务器需要 SNI 的问题。

IP 地址为什么可能没有 SNI

SNI 的值是主机名，不是给服务器传递“我正在连接哪个 IP”的字段。Go 在生成 ClientHello 时会对 ServerName 做处理：字面 IPv4、IPv6 以及带方括号的 IPv6 地址不会作为 SNI 发送。这意味着下面的配置可以没有 SNI，但仍然保留证书校验。

package main

import (
	"crypto/tls"
	"fmt"
)

func dialByIP() error {
	cfg := &tls.Config{
		ServerName: "192.0.2.10", // 证书校验目标是 IP；字面 IP 不会成为 SNI。
	}
	conn, err := tls.Dial("tcp", "192.0.2.10:443", cfg)
	if err != nil {
		return fmt.Errorf("按 IP 建立 TLS 连接失败: %w", err) // 常见原因是 IP SAN 缺失。
	}
	defer conn.Close() // 连接只用于示例，结束时释放底层资源。
	return nil
}

这段代码能否成功取决于服务端默认证书是否适用于这个 IP，并且证书链是否被本机信任。如果服务器依赖 SNI 为不同域名选择证书，直连 IP 时即使网络可达，也可能拿到默认站点证书，随后因为 IP SAN 不匹配而失败。

用域名 ServerName 连接 IP 地址

测试环境经常没有内部 DNS，调用方却知道服务的证书域名。此时可以让 TCP 连接走 IP，让 TLS 层继续使用域名：

package main

import (
	"crypto/tls"
	"fmt"
)

func dialVirtualHost() error {
	cfg := &tls.Config{
		ServerName: "api.example.test", // 同时用于证书校验，并作为域名 SNI。
	}
	conn, err := tls.Dial("tcp", "192.0.2.10:443", cfg)
	if err != nil {
		return fmt.Errorf("连接虚拟主机失败: %w", err) // 域名证书或服务端路由不匹配时保留原错。
	}
	defer conn.Close() // 使用结束后关闭 TLS 连接和底层 TCP 连接。
	return nil
}

这段配置表达了两个不同的决定：网络层“把包发给 192.0.2.10”，TLS 层“我要访问 api.example.test”。如果该域名出现在证书 SAN 中，且服务端按 SNI 配置了对应站点，就不需要关闭证书校验。

如果应用使用 http.Transport，也可以把同样的 TLS 配置放进 Transport；不要仅仅修改 URL 中的 IP 就期待客户端自动推断原来的域名。URL 的主机名、拨号地址和 TLS ServerName 在代理、服务发现或自定义 DialContext 场景中可能来自不同位置，应明确传递。

在服务端观察 ClientHello 的 SNI

服务端的 GetConfigForClient 和 GetCertificate 回调可以读取 tls.ClientHelloInfo.ServerName。它适合做证书选择和排障记录，但不能把它当成客户端身份认证；SNI 是客户端在握手中提供的名称。

package main

import (
	"crypto/tls"
	"fmt"
)

func chooseConfig(base *tls.Config) *tls.Config {
	clone := base.Clone()
	clone.GetConfigForClient = func(hello *tls.ClientHelloInfo) (*tls.Config, error) {
		// 空字符串表示客户端没有提供可用的域名 SNI，回退策略要由服务端决定。
		if hello.ServerName == "" {
			return base, nil
		}
		fmt.Printf("收到 SNI: %s\\n", hello.ServerName) // 生产环境应注意日志脱敏和噪声。
		return base, nil
	}
	return clone
}

排查时可以把“收到空 SNI”与“证书验证失败”分开记录。空 SNI 只说明客户端没有提供可用于虚拟主机选择的名称；证书错误还可能来自信任根、证书链、过期时间或 SAN 不匹配。

按场景选择配置并避开误区

最容易误用的是 InsecureSkipVerify。它会关闭服务器证书链和主机名的默认验证，官方文档明确提醒这会让连接容易受到中间人攻击。若确实需要自定义验证，应把验证逻辑写进 VerifyConnection 或 VerifyPeerCertificate，并保留清晰的信任根和名称规则；仅为“让握手通过”而开启它，不是修复。

相关疑问

ServerName 填 IP 就等于发送了 IP 的 SNI 吗？不是。Go 会过滤字面 IP，不把它作为 SNI；但它仍可作为证书校验的 IP 名称。

连接地址是 IP 时，ServerName 必须也填 IP 吗？不必须。只要证书和服务端虚拟主机使用域名，就可以连接 IP，同时把域名写入 ServerName。

没有 SNI 一定握手失败吗？不一定。单站点服务可能使用默认证书成功；依赖虚拟主机选择证书或配置的服务可能返回错误证书或拒绝握手。

设置 InsecureSkipVerify 后还会发送 SNI 吗？如果 ServerName 是域名，仍可能发送该域名；这个选项主要影响证书验证，不是“强制有 SNI”或“强制无 SNI”的开关。

小结

Go TLS 客户端是否有 SNI，核心看 ServerName 是否是可用域名，而不是只看 TCP 拨号地址。空值在默认校验模式下会让握手提前失败；IP 值通常不发送 SNI，但仍可做 IP SAN 校验；连接 IP、使用域名校验和发送域名 SNI，则是虚拟主机场景的常见安全写法。遇到问题时先修正名称、证书和信任根，再考虑自定义校验，避免用 InsecureSkipVerify 代替配置设计。