用于 SSL 的 Haproxy acl 规则

Question

我需要为 SSL 配置 Haproxy，这样如果 URL 中的某些关键字匹配，那么它应该转到非 SSL 端口 (8080)，而对于其余的调用，它应该转到 SSL 端口 8443。

我已经为 example.com 分配了 127.0.0.1，如果 URL example.com 在浏览器中输入，那么它指向我机器中的 localhost。

在前端 SSL 中，acl 规则无法按预期工作，因为带有操作“报告”或“帐户管理”的 URL 不是指后端代理后端。所有通过 default_backend SSLappAPI 的流量，即使 URL 具有 action=reporting。

acl 不起作用，因为我正在尝试使用非 SSL 端口进行 SSL 流量，或者我在下面的 haproxy 配置中遇到任何问题。

任何帮助将不胜感激

示例网址：https://example.com/api/?uid=NrpB1vfSR01KVsxw1YI5H4&action=reporting

frontend  main *:80

    acl is_api url_param(action) -i host_check
    use_backend appAPI      if is_api
    default_backend             appUI
    option             forwardfor

frontend ssl
    mode tcp
    bind *:443
    option tcplog
    acl server_ssl urlp_sub(action) -i reporting
    acl server_ssl urlp_sub(action) -i account_management
    acl server_ssl hdr(host) -i example.com
    acl server_ssl hdr_sub(host) -i example.com

    use_backend proxybackend if server_ssl
    default_backend             SSLappAPI
    option             forwardfor

backend appUI
    server      ui-server 127.0.0.1:8080 check maxconn 50#ui <- leave this format to allow for selective script replacement

backend appAPI
    server  api-server 127.0.0.1:8080 check maxconn 750#api <- leave this format to allow for selective script replacement
    timeout http-keep-alive 0s

backend SSLappAPI
    mode tcp
    server  api-server 127.0.0.1:8443 check maxconn 800#ssl <- leave this format to allow for selective script replacement

backend proxybackend
    server proxyserver 127.0.0.1:8080

Answer 1

规则“re​​q_ssl_sni”成功了。似乎普通的 ACL 不适用于 SSL，这里 'req_ssl_sni' 会来救援。

下面是使用相同 haproxy 的 2 个 SSL 服务器的工作代码。下面的代码也适用于 SSL 证书，无需在 haproxy 服务器上安装组合的 .PEM 证书。

前端 SSL 模式 tcp ssl 绑定 *:443 选项 tcplog

tcp-request inspect-delay 5s
tcp-request content accept if { req_ssl_hello_type 1 }

use_backend SSLappAPI if { req_ssl_sni -i anoexample.com }
use_backend proxybackend if { req_ssl_sni -i example.com }

default_backend             SSLappAPI

backend SSLappAPI
mode tcp
server  api-server 127.0.0.1:8443 check maxconn 800#ssl <- leave this format to allow for selective script replacement

backend proxybackend
mode tcp
#option nolinger
option tcplog
balance roundrobin
hash-type consistent
option srvtcpka

# maximum SSL session ID length is 32 bytes.
stick-table type binary len 32 size 30k expire 30m

# make sure we cover type 1 (fallback)
acl clienthello req_ssl_hello_type 1
acl serverhello rep_ssl_hello_type 2

# use tcp content accepts to detects ssl client and server hello.
tcp-request inspect-delay 5s
tcp-request content accept if clienthello

# no timeout on response inspect delay by default.
tcp-response content accept if serverhello

# SSL session ID (SSLID) may be present on a client or server hello.
# Its length is coded on 1 byte at offset 43 and its value starts
# at offset 44.
# Match and learn on request if client hello.
stick on payload_lv(43,1) if clienthello

# Learn on response if server hello.
stick store-response payload_lv(43,1) if serverhello

#option ssl-hello-chk

server proxyserver 127.0.0.2:443