Nginx từ chối tên máy chủ không xác định qua HTTPS

Tôi có một ví dụ Nginx sử dụng SNI để phục vụ nhiều tên miền HTTPS từ một IP.

Vấn đề duy nhất với thiết lập là Nginx phản hồi với tên miền đầu tiên (đóng vai trò mặc định) bất cứ khi nào URL cho IP trống của máy chủ hoặc tên miền được liệt kê tại IP đó không có khối máy chủ HTTPS tương ứng, được yêu cầu. Trong trường hợp này, tôi rất muốn trả lại một Cấm 403 tiêu chuẩn - Tôi sẽ thiết lập một khối máy chủ mặc định để làm điều này nhưng tôi không thể thấy cách nào xung quanh các cảnh báo không khớp với chứng chỉ ứng dụng khách.

(Làm thế nào c | C) tôi định cấu hình Nginx để từ chối các yêu cầu đến các miền không xác định / không xác định như vậy mà không cần chỉ định một chứng chỉ ssl cụ thể sẽ làm đảo lộn các trình duyệt? (tức là tôi cần Nginx từ chối yêu cầu với 403 trước khi làm phiền khách hàng với chứng chỉ "xấu" - từ POV của khách hàng, điều này hoàn toàn giống với trường hợp không có khối máy chủ HTTPS nào được xác định.)

Câu hỏi này khá giống với câu hỏi tôi đã trả lời hôm qua: nginx và SNI: có thể tự động giải quyết chứng chỉ SSL theo tên miền không

Không thể từ chối kết nối trước khi người dùng nhìn thấy thông báo chứng chỉ xấu trong trình duyệt của mình. Vào thời điểm Nginx có thể trả về câu trả lời HTTP 403, bắt tay SSL đã kết thúc và để hoàn thành bắt tay, trình duyệt phải chấp nhận chứng chỉ được cung cấp. Bạn chỉ có thể từ chối kết nối sau khi người dùng chấp nhận chứng chỉ bằng cách thiết lập máy chủ mặc định:

server {
    listen 433 default_server ssl;
    ssl_certificate       common.crt;
    ssl_certificate_key   common.key;
    return 403;
}

Tuy nhiên, hầu hết các trình duyệt gần đây đều hỗ trợ Chỉ định Tên Máy chủ và nếu bạn có bộ chứng chỉ cho mỗi vhost, người dùng bình thường sẽ không thấy thông báo đó.

Có thể từ chối các kết nối mà không có tên máy chủ hợp lệ được chỉ định bởi SSL với iptables nhưng điều đó có thể khá khó khăn và hoàn toàn không tuân thủ bất kỳ tiêu chuẩn nào.

Thông tin cập nhật: Có thể return 444hủy kết nối tcp ngay lập tức trước khi lỗi chứng chỉ được hiển thị.

Nếu tên miền của bạn là tên miền phụ của cùng một chủ (* .example.com), bạn có thể sử dụng chứng chỉ ký tự đại diện. Không, tôi không nghĩ bạn có thể cung cấp bất kỳ chứng chỉ nào mà trình duyệt sẽ hài lòng.