Haproxy 配置多域名SSL证书

Haproxy 服务启动 SSL

如果没有启用SSL，参考： 《编译 Haproxy 支持 SSL》

[root@GZ-P-L-HA-11 ~]# haproxy -vv | grep OpenSSL
Built with OpenSSL version : OpenSSL 1.1.1a  20 Nov 2018
Running on OpenSSL version : OpenSSL 1.1.1a  20 Nov 2018
OpenSSL library supports TLS extensions : yes
OpenSSL library supports SNI : yes
OpenSSL library supports : TLSv1.0 TLSv1.1 TLSv1.2 TLSv1.3

SSL证书合并

像Nginx配置ssl有两个证书文件，一个ssl_certificate公钥 与 ssl_certificate_key私钥。
Haproxy配置ssl需要将这两个证书文件合并到一个文件。

cat api.linuxhub.cn_bundle.crt api.linuxhub.cn.key | tee api.linuxhub.cn.pem

Haproxy配置

配置很简单

bind *:443 ssl crt /etc/haproxy/ssl/api.linuxhub.cn.pem

多个域名

bind *:443 ssl crt /etc/haproxy/ssl/api.linuxhub.cn.pem crt /etc/haproxy/ssl/www.linuxhub.cn.pem

样例

############## web 网站 #################
frontend web_in
      
       bind *:80
           
          ######## https 域名证书配置 #############
      bind *:443 ssl crt /etc/haproxy/ssl/api.linuxhub.cn.pem crt /etc/haproxy/ssl/www.linuxhub.cn.pem

       ######## acl策略配置 #############
       acl ZEZE_WWW hdr_beg(host) www.linuxhub.cn
       acl ZEZE_API hdr_beg(host) api.linuxhub.cn
       
       ######### acl策略匹配相应 ############# 
       use_backend zeze_api if  ZEZE_API
       use_backend zeze_www if  ZEZE_WWW           
       default_backend  zeze_api

backend zeze_api
        mode http
        option forwardfor
        balance roundrobin
        timeout server   60s
        option httpchk HEAD /stat
        server GZ-P-L-JAVA-11 192.168.10.11:8081 check
        server GZ-P-L-JAVA-12 192.168.10.12:8081 check

backend zeze_www
        mode http
        option forwardfor
        balance roundrobin
        timeout server          60s
        option httpchk HEAD /stat
        server GZ-P-L-JAVA-11 192.168.10.11:8082 check
        server GZ-P-L-JAVA-12 192.168.10.12:8082 check
其它

另外HAProxy SNI 也可以实现haproxy ssl 的代理。
大概工作流程：当HAProxy通过HTTPS流量时，它简单地将原始TCP流发送到具有证书并处理加密和解密的后端。