客户端把 DNS 主机名（而不是 IP 地址；RFC 6066 禁止使用字面地址）放入 server_name；服务器据此选择证书和配置。没有 SNI 时，服务器会退回默认证书；客户端省略 SNI 时出现“证书不属于该主机”的问题，通常就是这个原因，例如旧版本中不带 -servername 的 openssl s_client，或者配置错误的 HTTP 客户端。
明文的名称对网络可见，网络会据此过滤、审查和分析流量。加密 ClientHello（RFC 9849）把真实名称移入加密的内层 ClientHello，外层只显示一个共享的公共名称。