核心是启用ssl_reject_handshake on并置于http块顶层，配合严格server_name列表和禁用default_server，在tls握手阶段直接拒绝无sni请求，触发unrecognized_name告警。
要拦截没有携带 SNI 扩展的旧版 TLS 握手请求，核心是让 Nginx 在 TLS 层直接拒绝——而不是等它选中某个默认证书再返回。这需要同时满足协议限制、SNI 强制和配置位置三重条件。
必须启用并严格限定 TLS 协议版本
老旧客户端（如 IE8/Win7、旧版 Java 或嵌入式设备）常只支持 TLSv1.0 或 TLSv1.1，且不发送 SNI。若你仍开启这些旧协议，又没做 SNI 约束，Nginx 就会用第一个可用的 SSL server 块响应，泄露证书信息。
- 在每个 HTTPS server 块中显式禁用不安全旧协议：
ssl_protocols TLSv1.2 TLSv1.3; - 如果业务必须兼容 TLSv1.1（如对接特定旧系统），则必须配合
ssl_reject_handshake on使用，不能单独放开协议 - 绝对不要全局启用 TLSv1 —— 它天然不支持 SNI，等于主动放弃防护入口
在 http 块顶层启用 ssl_reject_handshake
该指令是拦截无 SNI 请求的关键开关，但它只在正确位置才生效：
- 必须写在
http { }块最上方，不能放在server或location内 - 仅对启用了
listen 443 ssl的 server 生效，不影响 HTTP 流量 - 启用后，所有未被
server_name显式匹配的连接（包括空 SNI、IP 直连、伪造域名）都会触发UNRECOGNIZED_NAME告警并立即断连
每个 HTTPS server 必须精确声明 server_name，禁用 default_server
没有明确 server_name 列表，ssl_reject_handshake 就无法判断“谁合法”，也就无法拒绝非法请求：
- 为每个站点写死完整域名：
server_name example.com www.example.com api.example.com; - 禁止使用通配符：
*.example.com会让任意子域通过握手，完全绕过防护 - 彻底删除或注释掉类似
listen 443 ssl default_server;的兜底配置——它的存在会使 Nginx 继续返回证书，使ssl_reject_handshake失效
验证是否真正拦截成功
别靠浏览器访问 IP 来判断，要观察 TLS 层行为：
- 模拟无 SNI 握手：
openssl s_client -connect your.ip:443 -tls1_2（不带-servername参数） - 成功拦截时，输出应包含
SSL routines::UNRECOGNIZED_NAME，且无Certificate:段 - 若仍看到证书或返回 HTTP 响应（如 444），说明配置未加载、指令位置错误，或有残留的
default_server干扰
