启用 ssl_reject_handshake on 并在 http 块顶部全局配置，配合每个 HTTPS server 显式声明合法域名，可彻底阻断未绑定域名的 TLS 握手；需禁用通配符与 default_server，通过 OpenSSL 和 curl 验证拦截效果，并辅以 HTTP 拦截、协议限制及日志增强等加固措施。
直接在 TLS 握手初始阶段拒绝未绑定域名的请求，是阻断恶意扫描和 SNI 探测最干净的方式——不发证书、不建连接、不进日志、不留指纹。关键在于正确启用 ssl_reject_handshake on，并确保每个 HTTPS server 显式声明合法域名。
必须全局开启且位置固定
该指令只能写在 http { } 块最上方，不能放在某个 server 块内，也不支持 if 判断或条件开关：
- 在
nginx.conf的http块顶部添加：ssl_reject_handshake on; - 它只对启用了
listen 443 ssl的server生效，不影响 HTTP 80 端口 - 修改后执行
nginx -s reload即可生效，无需重启进程
每个 HTTPS server 必须显式列出合法域名
启用后，Nginx 会严格比对客户端在 TLS 握手中发送的 SNI 字段。只有被 server_name 明确写出的域名才允许继续握手：
- ✅ 正确写法：
server_name example.com www.example.com api.example.com; - ❌ 禁止通配符：
server_name *.example.com;—— 所有子域都会通过，等于放弃防护 - ❌ 不要保留带证书的
default_server—— 它会接管未匹配请求并返回证书，彻底抵消拦截效果
验证是否真正生效
别只看配置是否存在，要用真实工具观察 TLS 层行为：
- 用 OpenSSL 模拟非法 SNI：
openssl s_client -connect 1.2.3.4:443 -servername fake.test.com -tls1_2
成功拦截时，输出中会出现SSL routines::UNRECOGNIZED_NAME，且没有Certificate:段 - 用 curl 测试 IP 直连：
curl -vI https://1.2.3.4
应卡在 TLS 握手阶段失败，看不到Server Hello，浏览器报ERR_SSL_UNRECOGNIZED_NAME_ALERT - 再用合法域名测试：
openssl s_client -connect 1.2.3.4:443 -servername example.com
应正常完成握手并显示证书信息，确认业务不受影响
搭配基础加固避免绕过
单靠 ssl_reject_handshake 不足以覆盖全部风险，建议同步做几项轻量但关键的加固：
- 对 HTTP 默认站点也做拦截：
server { listen 80 default_server; return 444; }，防止 80 端口暴露服务指纹 - 在 HTTPS
server块中强制现代协议：ssl_protocols TLSv1.2 TLSv1.3;，禁用弱加密套件 - 在日志格式中加入
$ssl_server_name，便于识别高频空值或异常 SNI 请求 - 配合防火墙或 Nginx 限速模块，对高频 TLS 握手失败的 IP 做速率限制
