O Nginx rejeita nomes de servidores desconhecidos por HTTPS

Eu tenho uma instância do Nginx usando o SNI para atender a vários domínios HTTPS a partir de um único IP.

A única falha na configuração é que o Nginx responde com o primeiro domínio (atuando como padrão) sempre que uma URL para o IP simples do servidor ou um domínio listado nesse IP para o qual não há um bloco de servidor HTTPS correspondente. Nesse caso, eu preferiria simplesmente retornar um 403 Proibido padrão - eu configuraria um bloco de servidor padrão para fazer isso, mas não vejo uma maneira de contornar os avisos de incompatibilidade de certificado de cliente.

(Como c | C) eu configuro o Nginx para rejeitar solicitações para domínios desconhecidos / indefinidos sem precisar especificar um certificado SSL específico que perturbará os navegadores? (ou seja, preciso que o Nginx rejeite a solicitação com um 403 antes de perturbar o cliente com um certificado "ruim" - do POV do cliente, isso deve ser idêntico ao caso em que nenhum bloco de servidor HTTPS está definido.)

Esta pergunta é bastante semelhante à que eu respondi ontem: nginx e SNI: é possível resolver automaticamente o certificado SSL por nome de domínio

Não é possível rejeitar a conexão antes que o usuário veja uma mensagem de certificado incorreto em seu navegador. Quando o Nginx pode retornar uma resposta HTTP 403, o handshake SSL termina e, para concluir o handshake, o navegador deve aceitar o certificado fornecido. Você só pode rejeitar a conexão depois que o usuário aceitou o certificado configurando um servidor padrão:

server {
    listen 433 default_server ssl;
    ssl_certificate       common.crt;
    ssl_certificate_key   common.key;
    return 403;
}

No entanto, os navegadores mais recentes suportam a indicação de nome de servidor e, se você tiver um certificado definido para cada vhost, é muito improvável que um usuário normal veja essa mensagem.

Pode ser possível rejeitar conexões sem nome de host válido indicado por SSL com iptables, mas isso provavelmente é bastante complicado e não seria compatível com nenhum padrão.

Informações atualizadas: É possível return 444abortar a conexão tcp imediatamente antes que um erro de certificado seja mostrado.

Se seus domínios forem subdomínios do mesmo mestre (* .example.com), você poderá usar um certificado curinga. Caso contrário, acho que você não pode fornecer nenhum certificado com o qual o navegador ficará satisfeito.