NGINX использует первый ssl server_block, который он может найти по умолчанию

Итак, я удалил мой стандартный vhost config из /etc/nginx/sites-available/, поскольку мне не нужно перехватывать пользователей, обращающихся к несуществующему поддомену (Debian 9).

Проблема: при вызове случайного субдомена с помощью https, например https://abc.example.comNGINX применяет поведение по умолчанию и использует первый listen 443 блок сервера он может найти в моих файлах конфигурации. Это означает, что, когда пользователь по ошибке получает доступ к поддельному поддомену с помощью https, вместо того, чтобы получить ошибку 404 (как при вызове https://abc.amazon.com/ или https://abc.google.com/), он получит красный восклицательный знак и certificate name missmatch ошибка (хром (NET::ERR_CERT_COMMON_NAME_INVALID)), что куда страшнее, чем понятная ошибка 404.
Вопрос: есть ли способ отключить это поведение nginx по умолчанию, используя первый найденный блок ssl-сервера?
О, И: Даже при воссоздании vhost по умолчанию (я скопировал его резервную копию), NGINX демонстрирует то же поведение при доступе к случайному поддомену с https. Также Firefox будет использовать мой порт 80 блок сервера для перенаправления любого трафика с http на https://www.example.com$request_uri;, Chrome перенаправляет http на https при вызове случайного субдомена, но сохраняет субдомен (правило, которое я никогда не определял). Вот мои 2 файла конфигурации в /etc/nginx/sites-available/ Я сейчас использую.
по умолчанию (конфигурация, обновление)

server {
    listen 80 default_server;
    listen [::]:80 default_server;
    server_name _;
    return 404;
}
server {
    listen 443 ssl default_server;
    server_name _;
    ssl_certificate /etc/nginx/ssl/nginx.crt;
    ssl_certificate_key /etc/nginx/ssl/nginx.key;
    return 444;
}

www.example.com (config)

server {
    listen 80;
    listen [::]:80;
    server_name example.com www.example.com;
    include /etc/nginx/snippets/letsencrypt.conf;
    return 301 https://www.example.com$request_uri;
}
server {
    listen 443 ssl http2;
    listen [::]:443 ssl http2;
    server_name example.com;

    ssl on;
    ssl_certificate /etc/letsencrypt/live/example.com/fullchain.pem;
    ssl_certificate_key /etc/letsencrypt/live/example.com/privkey.pem;
    ssl_session_timeout 1d;
    ssl_session_cache shared:SSL:50m;
    ssl_session_tickets off;
    ssl_dhparam /etc/letsencrypt/live/example.com/dh.pem;
    ssl_protocols TLSv1.2;
    ssl_ciphers 'ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384:ECDHE-ECDSA-CHACHA20-POLY1305:ECDHE-RSA-CHACHA20-POLY1305:ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES256-SHA384:ECDHE-RSA-AES256-SHA384:ECDHE-ECDSA-AES128-SHA256:ECDHE-RSA-AES128-SHA256';
    ssl_prefer_server_ciphers on;
    ssl_stapling on;
    ssl_stapling_verify on;
    ssl_trusted_certificate /etc/letsencrypt/live/example.com/chain.pem;
    resolver 8.8.8.8;

    add_header X-Frame-Options "SAMEORIGIN";
    add_header x-xss-protection "1; mode=block" always;
    add_header X-Content-Type-Options "nosniff" always;
    add_header Strict-Transport-Security "max-age=31536000; includeSubDomains" always;

    return 301 https://www.example.com$request_uri;
}
server {
    listen 443 ssl http2;
    listen [::]:443 ssl http2;
    server_name www.example.com;

    ssl on;
    ssl_certificate /etc/letsencrypt/live/example.com/fullchain.pem;
    ssl_certificate_key /etc/letsencrypt/live/example.com/privkey.pem;
    ssl_session_timeout 1d;
    ssl_session_cache shared:SSL:50m;
    ssl_session_tickets off;
    ssl_dhparam /etc/letsencrypt/live/example.com/dh.pem;
    ssl_protocols TLSv1.2;
    ssl_ciphers 'ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384:ECDHE-ECDSA-CHACHA20-POLY1305:ECDHE-RSA-CHACHA20-POLY1305:ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES256-SHA384:ECDHE-RSA-AES256-SHA384:ECDHE-ECDSA-AES128-SHA256:ECDHE-RSA-AES128-SHA256';
    ssl_prefer_server_ciphers on;
    ssl_stapling on;
    ssl_stapling_verify on;
    ssl_trusted_certificate /etc/letsencrypt/live/example.com/chain.pem;
    resolver 8.8.8.8;

    add_header X-Frame-Options "SAMEORIGIN";
    add_header x-xss-protection "1; mode=block" always;
    add_header X-Content-Type-Options "nosniff" always;
    add_header Strict-Transport-Security "max-age=31536000; includeSubDomains" always;

    root /var/www/www.example.com;
    index index.php;
    location ~ \.php$ {
            include snippets/fastcgi-php.conf;
            fastcgi_pass unix:/run/php/php7.0-fpm.sock;
    }

    location / {
            try_files $uri $uri/ =404;
    }
}

РЕДАКТИРОВАТЬ: Это мои записи DNS:

(HOST) *   (TYPE) A   (DESTINATION) MYIP
(HOST) @  (TYPE) A   (DESTINATION) MYIP
and some more for ftp, mail etc

Как мне изменить указанный выше DNS, чтобы он включал только мои субдомены (imap,webmail,www,smtp)? Кроме того, какова цель следующей предварительно сконфигурированной строки? Должен ли я изменить его на imap.example.com, чтобы он работал правильно? (У меня нет почтового поддомена)

(HOST) @ (TYPE) MX (MX) 10 (DESTINATION) mail.example.com