可以将 HA 代理配置为将 SSL 端口转发到 443 吗？答案

【问题标题】：Can HA Proxy be configured to forward an SSL port IN ADDITION to 443?可以将 HA 代理配置为将 SSL 端口转发到 443 吗？
【发布时间】：2015-06-17 23:06:19
【问题描述】：

我想通过 HA 代理在端口 5281 上路由 BOSH HTTPS 流量。 HA 代理已经在端口 443 上路由 SSL。即，我想使用相同的证书加密端口 443 和 5281。 443 转发到我的网络集群。 5281 被转发到我的 XMPP 服务器。

我使用 Tutum docker 云管理，所以我使用的是他们的 HA 代理的 dockerized 版本。但我看不到在这里做我想做的事：https://github.com/tutumcloud/tutum-docker-clusterproxy

相比之下，我可以使用 Amazon Load Balancer 做到这一点，但我仍然必须将其转发到 HA 代理来平衡我的容器，因为 ALB 不处理端口级平衡，并且 HA 代理通过链接容器很好地集成。但是在这个过程中我丢失了我的 X-Forwarded-Proto 标头（它不像 X-Forward-For 那样连接），所以在这个设置中我无法判断原始流量是否经过 SSL 加密（并相应地重定向它） .这样的设置也有点复杂 - 在不同的环境中，一个负载均衡器在另一个前面 - 糟糕。

任何想法如何让 HA 代理完成整个事情？

【问题讨论】：

我已经发布了一个答案，虽然我不完全确定我是否完全理解你的要求。此外，您没有理由在 ELB -> HAProxy 的级联中“丢失”X-Forwarded-Proto，这是我在我的环境中经常使用的设置（不同的站点，不同的 SSL 证书访问同一个集群，在一个SNI 不是一个可行选项的环境，我让 ELB 卸载 SSL 工作）。如果 ELB 正在设置它，HAProxy 应该通过它，它应该是。

标签： ssl amazon-web-services proxy haproxy

【解决方案1】：

如果我对您的问题的解释正确，那么指示 HAProxy 在任何端口上侦听 https 流量就足够简单了。

frontend https-on-another-port
    bind *:5281 ssl no-sslv3 crt /etc/haproxy/path-to-ssl-cert.crt

如果在入站连接上使用 SSL，您还可以在出站连接上自动添加 X-Forwarded-Proto 标头。在任何代理声明中：

http-request set-header X-Forwarded-Proto https if { ssl_fc }
http-request set-header X-Forwarded-Proto http unless { ssl_fc }

ssl_fc 是“前端连接使用 SSL”（或 TLS）的内置布尔测试。

【讨论】：