performance - Haproxy SNI 与 HTTP 主机 ACL 检查性能

Question

我有一个 HAproxy 1.5 设置，它在几个网络服务器前面卸载 SSL(这样，它们只处理 HTTP)

我的 SSL 证书是通配符，我们正在根据 FQDN 平衡到不同的后端。

我的前端配置是这样的:

...
frontend my-frontend
    bind            ip:443 ssl crt /var/etc/haproxy/wildcard_cert.pem  
    mode            http
    log             global
    option          httplog
    option          forwardfor

    use_backend     my-backend      if { ssl_fc_sni my.domain.org }
    use_backend     my-backend2     if { ssl_fc_sni my2.domain.org }

    acl             is-domain   hdr(host) -i my.domain.org
    acl             is-domain2  hdr(host) -i my2.domain.org
    use_backend     my-backend if is-domain
    use_backend     my-backend2 if is-domain2
...

特殊选项 ssl_fc_sni 可用于 SSL 卸载以访问 SNI 值(其中另一个选项 req_ssl_sni 适用于 SSL 直通)

http://cbonte.github.io/haproxy-dconv/configuration-1.5.html#ssl_fc_sni

我想知道 ssl_fc_sni 是否比 HTTP header 提取 ACL 执行得更快？ HAProxy 是否有机会提取 SNI 值并在读取 HTTP 内容、提取主机: header 和计算我的第二个 ACL 之前使用它？

还是性能一样？

谢谢，

Answer 1

我在 haproxy 邮件列表上问过同样的问题，我得到了答案:

1. ssl_fc_sni 比 hdr(host) 执行得更快，但它会被察觉不到。
2. 将 SNI 值用作后端选择器不是一个好主意。基本的 hdr(host) 绝对更标准、更干净、更安全。

邮件列表存档: http://marc.info/?l=haproxy&m=144490809910124&w=2