Nginx 可在 TLS 握手阶段通过识别异常 SNI、空 SNI、非法协议版本及高频失败握手等指纹拦截恶意扫描器；启用 ssl_reject_handshake on 并严格配置 server_name、禁用通配符，结合日志分析 $ssl_server_name 与 $ssl_protocol/$ssl_cipher，辅以 handshake 限速、连接限制和现代 TLS 协议/套件强制策略实现精准防御。
在 Nginx 层识别恶意扫描器，核心不是等它发 HTTP 请求再判断，而是抓住 TLS 握手阶段暴露的“指纹”——比如异常 SNI、空 SNI、非法协议版本或高频失败握手。这些行为天然区别于真实用户，可被精准拦截。
用 ssl_reject_handshake 拦截无匹配 SNI 的连接
扫描器常直接 IP 访问（https://1.2.3.4）或伪造随机域名（-servername scan001.test），此时 SNI 字段为空或不匹配任何 server_name。启用该机制后，Nginx 在 ClientHello 后立即返回 UNRECOGNIZED_NAME 告警并断连：
- 必须在
http { }块顶层添加：ssl_reject_handshake on; - 所有 HTTPS
server块需显式列出合法域名，如server_name example.com api.example.com; - 禁用通配符（
*.example.com）和default_server，否则会绕过拦截
记录并分析可疑 SNI 行为
即使握手被拒，客户端声明的 SNI 仍可在日志中捕获。通过扩展日志格式，快速定位扫描特征：
- 在
http块中定义日志格式：log_format scan '$remote_addr - [$time_local] "$ssl_server_name" $status $ssl_protocol/$ssl_cipher'; - 重点关注：
$ssl_server_name为空、为纯 IP、或高频出现非常规字符串（如test.local、foo.bar） - 配合
grep -E "(^$|^[0-9]+\.[0-9]+\.[0-9]+\.[0-9]+$)" access.log快速筛查
限制 TLS 握手频率与连接生命周期
扫描器往往高频建连、不发请求或故意拖慢握手。Nginx 可从资源层压制：
- 设置握手超时：
ssl_handshake_timeout 3s;（Nginx 1.19.0+），阻断 Slow-SSL 类攻击 - 按 IP 限并发连接：
limit_conn_zone $binary_remote_addr zone=scan:10m;+limit_conn scan 2;（HTTPS server 内） - 对握手入口限速：
limit_req_zone $binary_remote_addr zone=handshake:10m rate=1r/s;，并在location /中应用
识别非标准 TLS 协议与密钥套件
多数扫描工具（如 masscan、sslscan）使用固定、老旧或非主流 TLS 参数，与浏览器差异明显：
- 在日志中加入
$ssl_protocol和$ssl_cipher，筛选出SSLv3、TLSv1或弱套件（如RC4-SHA、DES-CBC3-SHA） - 主动禁用旧协议：
ssl_protocols TLSv1.2 TLSv1.3; - 强制现代加密套件：
ssl_ciphers ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256;
