Ошибка Jetty Invalid SNI, даже если сертификат верен

В нашем продукте имеется сервер, использующий встроенный Jetty (версия 11.0.11), обеспечивающий функциональность подключения клиентов посредством HTTP-вызовов. Его можно настроить для HTTPS, и многие наши клиенты используют его с этой конфигурацией. Недавно мы столкнулись с проблемой от одного из наших клиентов, который обнаружил странную проблему с конфигурацией https. Запрос иногда работает правильно, а иногда выдает ошибку «Неверный SNI» от Jetty. Мы знаем, что проблемы такого типа обычно возникают, когда SNI, отправленный в запросе, не соответствует тому, что указано в сертификате. В данном случае в рамках упражнений по устранению неполадок мы собрали снимки Wireshark, чтобы посмотреть, что отправляется, и сравнить с тем, что указано в сертификате.

В самом сертификате в альтернативном имени субъекта указан сервер, например «server.xyz.abc.com». Из журналов Wireshark мы видим, что уровень TLS иногда отправляет SNI как «server.xyz.abc.com», а иногда как «SERVER.xyz.abc.com». Обратите внимание на то, что часть имени сервера написана заглавными буквами.

Запрос выполняется успешно, когда уровень TLS отправляет SNI как «server.xyz.abc.com», и кажется, что запрос завершается неудачей, когда SNI поступает в «SERVER.xyz.abc.com».

Мы получаем сообщение «org.eclipse.jetty.http.BadMessageException: 400: Invalid SNI».

Чтобы исправить это, мы попросили клиента исправить сертификат, добавив «SERVER.xyz.abc.com» в альтернативное имя субъекта, и развернули этот сертификат на сервере. Итак, сертификат теперь содержит:

server.xyz.abc.com

СЕРВЕР.xyz.abc.com

Однако это все еще не устранило проблему, и сообщение о недопустимом SNI по-прежнему продолжает приходить с перерывами, хотя Wireshark показывает, что SNI Client Hello поступает точно так же, как в сертификате. Мы заметили одну вещь: сбой по-прежнему происходит, когда имя в верхнем регистре входит в качестве SNI в запросе Client Hello.

У меня есть следующие вопросы:

• Есть ли какая-либо известная проблема с Jetty с чувствительностью к регистру SNI, и правильно ли добавлять в сертификат имя сервера в верхнем регистре?
• Почему уровень TLS поочередно отправляет имя в верхнем и нижнем регистре, и есть ли где-нибудь какая-либо настройка, позволяющая заставить его отправлять его, скажем, в нижнем регистре?
• В худшем случае нам может потребоваться отключить проверку SNI, чтобы исправить это. Это единственный способ сделать это, поскольку для отключения этой проверки нам потребуется внести изменения в код. Судя по другим сообщениям, я думаю, что в Jetty нет настраиваемого параметра, позволяющего отключить эту проверку.

Пожалуйста, помогите с любыми идеями, которые могут у вас возникнуть, поскольку мы не знаем, как продолжить помощь нашему клиенту.

[ОБНОВЛЯТЬ]: При дальнейшем копании, включив ведение журнала отладки Jetty, мы обнаружили, что хост SNI имеет значение null. Таким образом, этот вызов внутри кода Jetty (SecureRequestCustomizer.java) для получения значения хоста SNI возвращает нулевое значение для «sniHost» и вызывает исключение. Есть идеи, почему это будет равно нулю и что мы можем с этим поделать?

protected void checkSni(Request request, SSLSession session)
{
    if (isSniRequired() || isSniHostCheck())
    {
        String sniHost = (String)session.getValue(SslContextFactory.Server.SNI_HOST);

        X509 x509 = getX509(session);
        if (x509 == null)
            throw new BadMessageException(400, "Invalid SNI");
        String serverName = Request.getServerName(request);
        if (LOG.isDebugEnabled())
            LOG.debug("Host = {}, SNI = {}, SNI Certificate = {}", serverName, sniHost, x509);

        if (isSniRequired() && (sniHost == null || !x509.matches(sniHost)))
            throw new BadMessageException(400, "Invalid SNI");

        if (isSniHostCheck() && !x509.matches(serverName))
            throw new BadMessageException(400, "Invalid SNI");
    }
}