最干净的阻断方式是在tls握手初始阶段拒绝未绑定域名请求，需在nginx.conf的http块顶层启用ssl_reject_handshake on，且每个https server必须显式声明合法域名，禁用通配符和default_server。
直接在 TLS 握手最开始就拒绝未绑定域名的请求，是阻断恶意 HTTPS 扫描和 SNI 探测最干净的方式——不发证书、不建连接、不进日志、不留指纹。核心就是用好 ssl_reject_handshake on，但它的效果高度依赖配置位置、域名声明方式和配套措施。
必须放在 http 块顶层启用
这个指令不能写在某个 server 块里，也不支持 if 判断或条件开关。它只在 HTTP 模块生效，且必须全局开启：
- 在
nginx.conf的http { }块最上方添加：ssl_reject_handshake on; - 它只对启用了
listen 443 ssl的 server 生效，不影响 HTTP 80 端口 - 修改后执行
nginx -s reload即可生效，无需重启进程
每个 HTTPS server 必须显式列出合法域名
启用后，Nginx 会严格比对客户端在 TLS 握手中发送的 SNI 字段。只有被 server_name 明确写出的域名才允许继续握手：
- ✅ 正确写法：
server_name example.com www.example.com api.example.com; - ❌ 禁止通配符：
server_name *.example.com;——所有子域都会通过，等于放弃防护 - ❌ 不要保留带证书的
default_server——它会接管未匹配请求并返回证书，彻底抵消拦截效果
验证是否真正生效
别只看配置文件是否存在，要用真实工具观察 TLS 层行为：
- 用 OpenSSL 模拟非法 SNI：
openssl s_client -connect 1.2.3.4:443 -servername fake.test.com -tls1_2
成功拦截时，输出中会出现SSL routines::UNRECOGNIZED_NAME，且没有Certificate:段 - 用 curl 测试 IP 直连：
curl -vI https://1.2.3.4
应卡在 TLS 握手阶段失败，看不到Server Hello，浏览器报ERR_SSL_UNRECOGNIZED_NAME_ALERT - 再用合法域名测试：
openssl s_client -connect 1.2.3.4:443 -servername example.com
应正常完成握手并显示证书信息，确认业务不受影响
搭配基础加固避免绕过
单靠 ssl_reject_handshake 不足以覆盖全部风险，建议同步做几项轻量但关键的加固：
- 对 HTTP 默认站点也做拦截：
server { listen 80 default_server; return 444; }，防止 80 端口暴露服务指纹 - 在 HTTPS server 块中强制现代协议：
ssl_protocols TLSv1.2 TLSv1.3;，禁用弱加密套件 - 在日志格式中加入
$ssl_server_name，便于识别高频空值或异常 SNI 请求 - 配合防火墙或 Nginx 限速模块，对高频 TLS 握手失败的 IP 做速率限制
