Nginx处理未知加密域名时应通过显式声明default_server、删除冗余server_name、限定listen地址来跳过server_name匹配，直落default_server，降低CPU开销。
Nginx 对未知加密域名（如 SNI 为空、或 TLS Client Hello 中 Server Name 不可解析）的请求，会退回到 default_server 处理。若该块配置不当，可能触发冗余的 server_name 匹配扫描，尤其在大量 server 块共用同一端口时，会增加 CPU 检索开销——哪怕最终命中 default_server，Nginx 仍需遍历所有候选 server 块以确认无更优匹配。
缩短这类恶意或异常请求的匹配耗时，核心不是“加速匹配”，而是让 Nginx 尽快跳过 server_name 阶段，直落 default_server。这依赖对 listen 指令和 default_server 标识的精准控制。
明确声明 default_server 并独占端口组合
每个 <IP:PORT> 组合必须且只能有一个 default_server，否则 Nginx 会默认选第一个 server 块，导致行为不可控，也使匹配路径变长。
- 在
listen指令中显式加上default_server，不依赖顺序 - 同一端口下禁止多个
server块都省略该标识 - HTTP 和 HTTPS 必须分别设置：
listen 80 default_server; listen 443 ssl http2 default_server;
若使用非标准端口（如 8443），同样需加 default_server，避免 fallback 到隐式首个块。
避免 server_name 引入无效匹配分支
server_name 匹配只在 listen 无法唯一确定 server 时才触发。但只要存在任意 server_name（包括 _、空值、通配符、正则），Nginx 就必须执行完整匹配流程——哪怕最终没匹配上。
- 删除所有非必需的
server_name行，尤其是兜底用的server_name _; - 若需拦截非法域名，*不要用 `server_name ~^.$
或server_name ""**，它们强制进入正则/空匹配逻辑，比无server_name` 更慢 - 真正的兜底
server应仅含listen ... default_server;，不写server_name字段
✅ 正确示例（高效兜底）：
server {
listen 443 ssl http2 default_server;
ssl_certificate /etc/nginx/ssl/default.crt;
ssl_certificate_key /etc/nginx/ssl/default.key;
return 444; # 静默关闭连接，零响应体
}❌ 低效示例（触发冗余匹配）：
server {
listen 443 ssl http2; # 缺少 default_server
server_name _; # 强制进入通配符匹配流程
return 444;
}限制监听范围，减少候选 server 数量
Nginx 先按 listen 过滤候选 server 块，再在其中做 server_name 匹配。缩小初始候选集，能直接削减后续计算。
- 避免滥用
listen 0.0.0.0:443；如服务器有明确业务 IP（如10.0.1.5），改用listen 10.0.1.5:443 ssl default_server - 若有多个 IP，为每个 IP + 端口组合单独设一个
default_server块，而非全绑定到0.0.0.0 - 删除未使用的
server块（如测试配置、注释掉但未删的旧块），Nginx 加载时仍会解析它们，影响匹配阶段的遍历长度
配合 TLS 层快速拒绝（可选增强）
虽然不属于 listen / server_name 匹配逻辑本身，但可在握手早期阻断恶意请求：
- 设置
ssl_reject_handshake on;（Nginx 1.19.4+）配合default_server，在 SNI 缺失时直接终止 TLS 握手，不进入 HTTP 请求解析阶段 - 配合
ssl_preread on;（在stream块中）做前置 SNI 检查并丢弃，彻底绕过http块匹配
这类配置将耗时从「HTTP 匹配」级降至「TCP/SSL 握手」级，对扫描类请求效果显著。
不复杂但容易忽略
