Nginx 安全防护：如何通过阻止未加密的源 IP 直接访问 443 端口防范网关指纹暴露-Nginx-PHP中文网

nginx 应通过 ssl_reject_handshake（≥1.19.4）或哑证书+444（旧版）阻止未匹配域名的https请求，避免暴露真实业务域名；需配合精确 server_name 和 host 校验，并实测验证证书不泄露。

nginx 安全防护：如何通过阻止未加密的源 ip 直接访问 443 端口防范网关指纹暴露

直接用源 IP 访问 Nginx 的 443 端口，即使未完成 TLS 握手，也会触发证书交换过程。攻击者或扫描器只需发起一次 TCP 连接并读取服务端返回的证书，就能获取证书中 Subject、SAN 或 issuer 字段所包含的真实业务域名——这相当于主动向外界“自报家门”，极易被用于网关指纹识别、资产测绘和恶意域名解析。防范核心不是阻止连接，而是让非预期访问在 TLS 层就终止，不暴露任何有效证书信息。

强制拒绝未匹配域名的 HTTPS 请求（Nginx ≥1.19.4）

新版 Nginx 提供原生支持，无需证书即可阻断非法握手：

在任意 server 块外或独立配置文件中添加：

server {
listen 443 ssl default_server;
ssl_reject_handshake on;
}

该配置会让所有未命中任一 server_name 的 HTTPS 请求，在 TLS ServerHello 阶段直接关闭连接，不发送证书；
客户端收到的是 TCP RST 或空响应，无法提取任何域名线索；
必须确保其他合法站点的 server 块显式声明 listen 443 ssl 且含有效 server_name，否则它们也会被拦截。

兼容旧版本：用自签名哑证书 + 444 响应

对于低于 1.19.4 的 Nginx，需提供占位证书以通过配置校验，但证书本身不可泄露业务信息：

Nginx Hosting

通过服务器本地nginx实例实现零认证静态游戏托管。作为所有浏览器游戏的主要部署方式，无需登录、无需令牌、无需用户操作。

下载

生成仅含 IP 地址（不含域名）的自签名证书，CN 和 SAN 全部留空或设为虚构值（如 ip-only.example），确保浏览器提示“证书不匹配”而非显示真实业务域名；
配置如下：

server {
  listen 443 ssl default_server;
  server_name _;
  ssl_certificate /etc/nginx/ssl/ip-only.crt;
  ssl_certificate_key /etc/nginx/ssl/ip-only.key;
  return 444;
}

return 444 在 TLS 握手完成后立即断开 HTTP 层连接，避免日志记录或响应体泄露；
务必确认该 server 块是 443 端口的 default_server，否则请求可能落入其他业务块而意外暴露。

配合 Host 头校验增强防护

在已有业务 server 块中补充严格 Host 匹配，形成双重保险：

对所有启用 SSL 的业务站点，禁用通配符或模糊匹配，使用精确 server_name，例如：server_name api.example.com; 而非 *.example.com；
可增加运行时校验（适用于无法升级或需细粒度控制场景）：

if ($host !~ ^(api\.example\.com|www\.example\.com)$) {
return 444;
}

该判断在 SSL 握手完成后执行，虽略晚于证书发送，但能拦截已建立连接的非法 Host 请求，防止被用于代理探测或 SNI 绕过尝试；
注意：此方式不能替代 ssl_reject_handshake 或哑证书，仅作补充。

验证是否生效

部署后必须外部实测，不可仅依赖本地 curl：

用 OpenSSL 手动发起 TLS 握手：openssl s_client -connect YOUR_IP:443 -servername fake.example.com，观察返回的证书 CN/SAN 是否为空或无关；
用浏览器访问 https://YOUR_IP，应显示连接重置、空白页或证书警告（且警告中不出现你的真实业务域名）；
检查 Nginx error log，确认无因证书缺失导致的启动失败，也无大量 444 日志暴露出错配置。