web-dev-qa-db-ja.com

HAproxysslの再暗号化とhttpヘッダーの変更

Httpsサーバーの前にHaproxy1.6.5をHttpsロードバランサーとして使用したいのですが、誤解の問題が発生しました。

この動作が必要です。haproxyは https://example.com として利用できますが、その背後には、httpに切り替えることができない自己署名証明書を持つhttpsサーバーがいくつかあります。

だから私はこれのために私のtcpフロントエンドを次のように構成しました

frontend tcp_in
       mode tcp
       option tcplog
       bind *:443 ssl crt /etc/ssl/certs/server.bundle.pem
       maxconn 50000

   tcp-request inspect-delay 5s
   tcp-request content accept if { req.ssl_hello_type 1 }

   acl example_acl req.ssl_sni -i example.com
   use_backend special_example if example_acl

この後、トラフィックをバックエンドの1つに送信したいのですが、要点は、backend1からhttps：\ eimA.customer.local、backend2からhttps：\ eimB.customer.localのようなものを要求したいということです。リクエストでホストヘッダーを書き換える必要があります。 （おそらくtcpモードでは機能しません。それでは、構成を変更してそれを行うにはどうすればよいですか？）

私のバックエンド設定は：

backend special_eims
        mode tcp
        option tcplog
        balance roundrobin
        stick-table type binary len 32 size 30k expire 30m
        acl clienthello req_ssl_hello_type 1
        acl serverhello rep_ssl_hello_type 2
        tcp-request inspect-delay 5s
        tcp-request content accept if clienthello
        tcp-response content accept if serverhello


        server eim1 eimA.customer.local:443 check
        server eim2 eimA.customer.local:443 check


        stick on payload_lv(43,1) if clienthello
        stick store-response payload_lv(43,1) if serverhello

設定の結果、ブラウザでSSL接続エラーが発生し、

curl -v https://example.com/default -k
* About to connect() to example.com port 443 (#0)
*   Trying 127.0.0.1... connected
* Connected to example.com (127.0.0.1) port 443 (#0)
* Initializing NSS with certpath: sql:/etc/pki/nssdb
* warning: ignoring value of ssl.verifyhost
* NSS error -12263
* Closing connection #0
* SSL connect error
curl: (35) SSL connect error

httpsを使用したバックエンドサーバーへの直接接続：// ip-address/defaultは404エラーを返すため、https：/ /eimA.customer.local/default形式が許可されます。

質問がばかげている場合はごめんなさい、助けてください。

sslhaproxyencryptionbackend
2
Oleg Doroshenko

しばらくして解決しました。 1. tcpモードではhttpヘッダー情報を取得できないため、tcpモードからhttpモードに切り替えました。 2.サーバーステートメントで実際のドメイン名を使用し、http-send-name-header Hostを使用しました。これは、基本的にHostヘッダーをserverディレクティブの後の名前に設定します。3。再暗号化モードでは、フロントエンド証明書が必須です。

    frontend CUIC_frontend
           mode http
           bind *:443 ssl crt  /etc/ssl/certs/ssl-cert.pem
           option forwardfor
           option http-server-close
           reqadd X-Forwarded-Proto:\ https
    default_backend App_Backend
....
backend App_Backend
        mode http
        balance roundrobin
        http-send-name-header Host
        server full-application1-domain-name  10.10.10.1:443 cookie app1 check ssl verify none 
        server full-application2-domain-name 10.10.10.2:443 cookie app2 check ssl verify none
1
Oleg Doroshenko