Nginx无法拦截未监听端口的非法访问，必须分层防御：对已监听非标端口用return或error_page统一响应，对未监听端口则依赖防火墙（如ufw/firewalld）默认拒绝并仅放行业务端口，同时清理nginx.conf中冗余listen指令并验证实际监听状态。
直接重定向无法真正拦截非标准端口的非法访问——因为请求根本没到达 Nginx。Nginx 只监听你明确配置的端口（如 80、443），它对未监听的端口（比如 8080、8888、6666）完全无感知，更不会处理或重定向这些请求。
真正有效的做法：分层拦截 + 精准响应
所谓“非标准端口的非法访问”，实际分两类场景，需分别应对：
- 攻击者扫描你服务器上开放的非标准端口（如 nmap -p1-65535 ip）：这类探测不走 HTTP 协议，也不带 Host 头，Nginx 根本收不到，必须靠防火墙在内核层丢弃
- 用户/爬虫误访问了你本不该对外开放的端口（如 http://example.com:8080/）：前提是该端口已被 Nginx 显式监听，此时才可由 Nginx 控制响应
只对已监听的非标端口做统一警告页响应
如果你确实在 Nginx 中监听了某些非标准端口（例如 8080、8443），又希望所有访问都导向一个安全警告页，不能用 rewrite，而应使用 return 302 或 error_page 配合内部 location：
- 在对应 server 块中，不设 root 或 location /，直接 return 跳转：
server { listen 8080; return 302 https://example.com/security-warning.html; } - 若要返回静态警告页而非跳转，用 error_page + internal location：
server { listen 8080;<br> error_page 403 /warning.html;<br> location = /warning.html {<br> root /usr/share/nginx/html;<br> internal;<br> }<br> return 403;<br>} - 确保
/usr/share/nginx/html/warning.html存在、权限可读，且不含敏感信息（如服务器版本、路径）
彻底屏蔽未授权端口访问（关键一步）
Nginx 不处理的端口，必须由系统防火墙接管。推荐用 ufw（Ubuntu）或 firewalld（CentOS/RHEL）只放行必要端口：
- 默认拒绝所有入站：
sudo ufw default deny incoming - 仅允许业务端口：
sudo ufw allow 80/tcp、sudo ufw allow 443/tcp、sudo ufw allow 22/tcp - 禁止常见扫描端口（可选但强烈建议）：
sudo ufw deny 8080、sudo ufw deny 8888、sudo ufw deny 6379等 - 启用后验证：
sudo ufw status verbose，确认策略生效
补充防御：避免暴露监听端口本身
即使端口被防火墙封住，若服务进程意外绑定到非标端口并启动，仍可能被本地探测发现。因此：
- 检查 nginx.conf 中所有
listen指令，删除任何非业务必需的端口监听（如listen 8080、listen 12345） - 用
sudo ss -tlnp | grep nginx查看 Nginx 实际监听哪些端口，确认与配置一致 - 禁用默认 server 块对未声明端口的响应：每个 listen 行都应配
server_name，避免 fallback 到默认块
