在配置 Trojan 或各类现代 TLS 加密协议时，我们经常会在参数列表中看到一个名为“SNI（Server Name Indication）”或“Peer / 伪装域名”的输入框。很多用户感到好奇：明明我们在客户端里已经填写了服务器真实的公网 IP 地址，为什么还要额外多此一举填写一个特定域名的 SNI 字段？这个看似微不足道的字符参数，究竟在抵御网络审查与深度包检测中扮演着怎样不可替代的核心角色？
一、SNI 技术的历史渊源：虚拟主机多域名共用 IP 的产物
在早期互联网中，一个公网 IP 地址只能部署一张 SSL 安全证书。但随着云计算与虚拟主机的普及，同一台物理服务器可能托管着成百上千个属于不同客户的独立网站。为了让客户端在与服务器握手的第一瞬间就明确告知“我本次想访问的是这台服务器上的哪一个具体网站”，IETF 制定了 SNI 扩展规范：客户端在发送尚未加密的 Client Hello 握手首包时，会在扩展字段中用明文附带目标域名信息，服务端据此精准向客户端下发匹配的特定证书。
二、Trojan 借助 SNI 实现的瞒天过海：完美匹配合法证书
Trojan 协议正是巧妙利用了这一全球通行的标准网络规则。当您的客户端发起连接时，SNI 字段填入的是服务商申请了合法证书的真实域名（例如 node1.yourdomain.com）。中间路过的防火墙审查设备在抓取到这个首包时，会看到一个格式 100% 规范、内容完全正常的标准 TLS1.3 握手请求；紧接着服务端顺理成章地返回由全球知名权威 CA 机构背书的正规证书。审查算法在协议层面上抓不到哪怕一个字节的异常违规特征，只能将其归类为正规商业流量放行。
三、SNI 审查的现实威胁与 ESNI/ECH 下一代加密演进
然而，传统的 SNI 机制存在一个天然的微小隐患：由于 Client Hello 是在建立加密通道之前发出的，SNI 中的域名在物理线路上是未经加密的明文。如果防火墙建立了一个庞大的“敏感域名黑名单库”，一旦检测到数据包中的 SNI 包含特定敏感字符，依然可以在毫秒内强行发送 TCP Reset 包切断连接。为了彻底封堵这一缺口，下一代互联网标准正在积极推进 ECH（Encrypted Client Hello，加密客户端问候），将整个 SNI 字段连同头部一并彻底加密，彻底终结基于域名的旁路拦截。
常见疑问解答
如果我在 Trojan 节点配置中不小心把 SNI 域名打错了一个字母，会怎样？
握手会当场彻底失败。因为客户端在收到服务端返回的证书时，会严格校验证书中的域名（Common Name）与本地请求的 SNI 是否一致，一旦发现名字不匹配，客户端会出于安全策略直接中断连接报 TLS 握手错误。
把 SNI 域名伪装成国内大厂的域名（如 baidu.com），能起到免流或加速效果吗？
在标准 Trojan 协议下绝对不行。因为您的真实服务器根本无法拿不出百度合法的私钥证书，在 TLS 证书握手阶段就会因为无法提供真实合法证书而当场报错断网；借壳伪装技术仅限特殊的 VLESS Reality 架构支持。
总结与购买前核验建议
SNI 是现代网络握手体系中不可或缺的指路明灯。借由标准 SNI 规范与合法数字证书的双重掩护，Trojan 赋予了数据流最从容的合规身份，成就了无惧风浪的从容通行。