多租户Nginx需隔离SSL证书以防泄露：禁用default_server，为IP直连设空证书兜底块并return 444；启用ssl_reject_handshake阻断无SNI请求；按租户分目录管理证书、严格设私钥权限600；自动化检测证书泄漏。
多租户环境下，Nginx 若未做隔离处理，不同租户的 SSL 证书容易相互覆盖、错配，甚至通过 IP 直连暴露任意租户的域名——这既是配置干扰，也是证书泄漏。核心在于：避免默认 server 块“兜底”响应、杜绝证书混用、阻断非 SNI 请求的证书泄露路径。
为每个租户独立定义 server 块并禁用 default_server
当多个 server 块监听同一端口（如 443）时，Nginx 会将第一个或标记为 default_server 的块作为“兜底”。一旦攻击者用 https://源站IP 访问，Nginx 就会返回该块绑定的证书，其中的 CN 或 subjectAltName 就暴露了某个租户的域名。
正确做法是：
- 每个租户使用独立
server块，明确指定server_name example-tenant1.com example-tenant2.com等对应域名； - 所有租户块均不加
default_server； - 单独创建一个“空证书兜底块”，仅响应 IP 直连请求，且其证书不含任何租户域名：
listen 443 ssl default_server;
server_name "";
ssl_certificate /etc/nginx/ssl/ip-only.crt; # 自签证书，CN=192.168.1.100 或直接设为 IP
ssl_certificate_key /etc/nginx/ssl/ip-only.key;
return 444; # 直接关闭连接，不返回任何内容
}
强制启用 SNI 并拒绝无 host 头的 TLS 握手
SSL/TLS 握手阶段，客户端应通过 SNI（Server Name Indication）告知目标域名。若 Nginx 接收了无 SNI 或 SNI 不匹配的请求，仍返回某张证书，就会造成跨租户信息泄露。
可通过以下方式收紧：
- 确保 OpenSSL 版本 ≥ 1.0.2（SNI 支持稳定），Nginx ≥ 1.11.5（支持
ssl_reject_handshake on）； - 在全局或 http 块中添加：
ssl_reject_handshake on; —— 对无 SNI 的 TLS ClientHello 直接拒绝，不发证书； - 配合
server_name ""的兜底块，双重拦截非法直连。
租户证书文件物理隔离与权限管控
证书干扰常源于路径误配或权限混乱。例如租户 A 的配置错误引用了租户 B 的 .key，或运维人员修改时覆盖了共用证书目录。
建议操作：
- 按租户划分子目录：
/etc/nginx/ssl/tenant-a/example.com.crt、/etc/nginx/ssl/tenant-b/api.example.net.crt； - 私钥权限严格设为
600，所属用户限定为 nginx 运行用户（如www-data），禁止组和其他用户读取； - Nginx 配置中禁止使用通配符路径（如
/etc/nginx/ssl/*.crt），必须显式写全路径； - 借助配置管理工具（Ansible / Terraform）模板化生成各租户 server 块，避免手工复制粘贴出错。
自动化验证与泄漏检测机制
人工检查易遗漏。部署轻量级检测可及时发现泄漏：
- 每日定时执行：
curl -kI https://$IP | grep "subject:" —— 检查返回证书是否含租户域名； - 使用
openssl s_client -connect $IP:443 -servername nonexistent.com -brief 2>/dev/null | grep "subject="模拟非法 SNI 请求，确认是否返回真实租户证书； - 接入 Censys/Shodan API 定期查询自身 IP 是否被索引到租户域名，触发告警。
