关于Caddy使用外部通配符TLS证书使用V2Ray(B+D+G+A)+Caddy(N+T)配置的问题请教

[zjy7723]

一直使用大佬caddy的配置，非常感谢。最近看了一下V2Ray(B+D+G+A)+Caddy(N+T)配置方案，
tls_connection_policies选项区分了不同域名采用不同密码套件。
我为了方便统一管理TLS证书，我的Caddy使用外部通配符证书，
查看了Caddy(Other Configuration)/outside_caddy.json配置说明：
//原配置：
//........<省略>........
"tls_connection_policies": [{
"match": {
"sni": ["z1.xx.yy"] //限定域名连接（包括禁止以 IP 方式访问网站），修改为自己的域名。
},
"protocol_min": "tls1.2",
........<省略>........

//以上配置修改为如下：
//........<省略>........
"tls_connection_policies": [{
"certificate_selection": {
"any_tag": ["tls01"] //关联对应证书标签
},
"protocol_min": "tls1.2",
........<省略>........

我在按outside_caddy.json修改我的配置及使用中有以下疑问及问题：
1.我的外部证书是通配符证书，证书路径只有一个 所以我在 "tls": { "certificates" { "load_files" ........ 下没有打标
我同时将"certificate_selection": { "any_tag": ["tls01"] ..... 删掉了，证书是唯一的 没得选，这样应该没问题吧？
2.既然"certificate_selection"删掉了，那caddy怎么对z1.xx.yy z2.xx.yy不同域名采用不同密码套件呢？
3.我后来干脆又在外部申请了z1.xx.yy z2.xx.yy证书 ，严格对照outside_caddy.json配置修改进行测试，
使用中发现全部域名密码套件都是采用"any_tag": ["tls01"]的配置，"any_tag": ["tls02"]配置失效。
z1.xx.yy连接正常 z2.xx.yy连接失败，估计caddy一直在tag": ["tls01"]的路径中查找z2.xx.yy证书，
不是在tag": ["tls01"] 及tag": ["tls02"]两个路径下同时查找证书。说明一下，外部申请的z1.xx.yy z2.xx.yy证书
不在相应的z1.xx.yy z2.xx.yy文件夹，也不是 .crt .key 后缀，caddy应该得不到匹配证书的信息，总不会一个个去试吧。
4.我后来又删掉了z1.xx.yy z2.xx.yy证书 用唯一的通配符证书 没有打标，在outside_caddy.json配置文件
将43 44 45行 删掉，插入 "match": { "sni": ["z1.xx.yy"] },
52 53 54行 同样修改为 "match": { "sni": ["z2.xx.yy"] },
这样z1.xx.yy z2.xx.yy 连接都正常 也采用了不同的密码套件

直观起见，我是将outside_caddy.json文件这样修改的：
//一、以反代或 REALITY Vision 为核心应用
//原配置：
//........<省略>........
"tls_connection_policies": [{
"match": {
"sni": ["z1.xx.yy"] //限定域名连接（包括禁止以 IP 方式访问网站），修改为自己的域名。
},
"protocol_min": "tls1.2",
"protocol_max": "tls1.2",
"cipher_suites": ["TLS_ECDHE_ECDSA_WITH_CHACHA20_POLY1305_SHA256"], //非 AES 算法的密码套件
"curves": ["secp521r1","secp384r1","secp256r1"]
},
{
"match": {
"sni": ["z2.xx.yy"] //限定域名连接（包括禁止以 IP 方式访问网站），修改为自己的域名。（域名名称与数量以实际为准）
},
"cipher_suites": ["TLS_ECDHE_ECDSA_WITH_AES_256_GCM_SHA384","TLS_ECDHE_ECDSA_WITH_AES_128_GCM_SHA256","TLS_ECDHE_ECDSA_WITH_CHACHA20_POLY1305_SHA256"],
"curves": ["x25519","secp521r1","secp384r1","secp256r1"]
}],
//........<省略>........
"tls": {
"certificates": {
"automate": ["z1.xx.yy","z2.xx.yy"] //自动化管理 TLS 证书（包括获取与更新证书）。修改为自己的域名。（域名名称与数量以实际为准）
},
"automation": {
"policies": [{
"issuers": [{
"module": "acme",
"email": "[email protected]" //修改为自己的电子邮箱，与下一致。（选配）
},
{
"module": "zerossl",
"email": "[email protected]" //修改为自己的电子邮箱，与上一致。（选配）
}]
}]
}
}
//........<省略>........

//以上配置修改为如下：
//........<省略>........
"tls_connection_policies": [{
"match": {
"sni": ["z1.xx.yy"] //限定域名连接（包括禁止以 IP 方式访问网站），修改为自己的域名。
},
"certificate_selection": {
"any_tag": ["tls01"] //关联对应证书标签 无证书标签的删掉此条目。
},
"protocol_min": "tls1.2",
"protocol_max": "tls1.2",
"cipher_suites": ["TLS_ECDHE_ECDSA_WITH_CHACHA20_POLY1305_SHA256"], //非 AES 算法的密码套件
"curves": ["secp521r1","secp384r1","secp256r1"]
},
{
{
"match": {
"sni": ["z2.xx.yy"] //限定域名连接（包括禁止以 IP 方式访问网站），修改为自己的域名。（域名名称与数量以实际为准）
},
"certificate_selection": {
"any_tag": ["tls02"] //关联对应证书标签（标签数量以实际为准）无证书标签的删掉此条目。
},
"cipher_suites": ["TLS_ECDHE_ECDSA_WITH_AES_256_GCM_SHA384","TLS_ECDHE_ECDSA_WITH_AES_128_GCM_SHA256","TLS_ECDHE_ECDSA_WITH_CHACHA20_POLY1305_SHA256"],
"curves": ["x25519","secp521r1","secp384r1","secp256r1"]
}],
//........<省略>........
"tls": {
"certificates": {
"load_files": [{
"certificate": "/home/tls/z1.xx.yy/z1.xx.yy.crt", //换成自己的证书，绝对路径。
"key": "/home/tls/z1.xx.yy/z1.xx.yy.key", //换成自己的密钥，绝对路径。
"tags": ["tls01"] //关联对应证书标签
},
{
"certificate": "/home/tls/z2.xx.yy/z2.xx.yy.crt", //换成自己的证书，绝对路径。
"key": "/home/tls/z2.xx.yy/z2.xx.yy.key", //换成自己的密钥，绝对路径。
"tags": ["tls02"] //关联对应证书标签
}] //若使用通配符证书或 SAN 证书合并一组即可。若使用唯一的通配符证书或 SAN证书，合并一组并删掉证书标签
}
}

不知道以上的修改是否可行，请赐教。

[lxhao61]

以 outside_caddy.json 文件新更新为准（不必考虑证书标签关联）。