Demandez à Nginx de rejeter les noms de serveurs inconnus via HTTPS

J'ai une instance Nginx utilisant SNI pour servir plusieurs domaines HTTPS à partir d'une seule IP.

Le seul problème avec la configuration est que Nginx répond avec le premier domaine (agissant par défaut) chaque fois qu'une URL pour l'IP nue du serveur, ou un domaine répertorié à cette IP pour lequel il n'y a pas de bloc de serveur HTTPS correspondant, est demandé. Dans ce cas, je préférerais de loin simplement renvoyer un 403 Forbidden standard - je configurerais un bloc serveur par défaut pour cela, mais je ne vois pas de moyen de contourner les avertissements de non-concordance des certificats clients.

(Comment c | C) et je configure Nginx pour rejeter les demandes vers de tels domaines inconnus / non définis sans avoir besoin de spécifier un certificat SSL particulier qui dérangera les navigateurs? (c'est-à-dire que j'ai besoin que Nginx rejette la demande avec un 403 avant de déranger le client avec un "mauvais" certificat - à partir du POV du client, cela devrait être identique au cas où aucun bloc serveur HTTPS n'est défini du tout.)

Cette question assez similaire à celle à laquelle j'ai répondu hier: nginx et SNI: est-il possible de résoudre automatiquement le certificat SSL par nom de domaine

Il n'est pas possible de rejeter la connexion avant que l'utilisateur ne voit un message de certificat incorrect dans son navigateur. Au moment où Nginx peut renvoyer une réponse HTTP 403, la négociation SSL est terminée et pour terminer la négociation, le navigateur doit accepter le certificat fourni. Vous ne pouvez rejeter la connexion qu'après que l'utilisateur a accepté le certificat en configurant un serveur par défaut:

server {
    listen 433 default_server ssl;
    ssl_certificate       common.crt;
    ssl_certificate_key   common.key;
    return 403;
}

Cependant, la plupart des navigateurs récents prennent en charge l'indication de nom de serveur et si vous avez un ensemble de certificats pour chaque vhost, il est peu probable qu'un utilisateur normal voit ce message.

Il peut être possible de rejeter des connexions sans nom d'hôte valide indiqué par SSL avec iptables, mais cela est probablement assez délicat et ne serait conforme à aucune norme.

Informations mises à jour: il est possible d' return 444interrompre la connexion TCP immédiatement avant qu'une erreur de certificat ne s'affiche.

Si vos domaines sont des sous-domaines du même maître (* .example.com), vous pouvez utiliser un certificat générique. À défaut, je ne pense pas que vous puissiez fournir une certitude dont le navigateur sera satisfait.