Каждый server слушает порт с набором имён; default_server ловит запросы с неизвестным Host. Без явного default чужой Host может попасть «не туда».
Разбор
- Отдельный default, который закрывает
return 444; или 421.
- Wildcard и
.example.com покрывают поддомены.
- TLS: сертификат должен покрывать все имена (SAN).
- Пустой Host — краевой случай сканеров.
Итог
default_server закрывает мусорный Host-трафик осознанно.