ssl - 多域的 HAProxy 动态 SSL 配置

Question

我在两个 VPS 中有大约 100 个类似的网站。我想使用 HAProxy 动态切换流量，但同时我想添加一个 SSL 证书。

我想使用添加一个变量来调用每个网站的特定证书。例如:

frontend web-https 
    bind 0.0.0.0:443 ssl crt /etc/ssl/certs/{{domain}}.pem 
    reqadd X-Forwarded-Proto:\ https 
    rspadd Strict-Transport-Security:\ max-age=31536000 
    default_backend website

我还想检查 SSL 证书是否真的可用，如果不可用，则通过重定向切换到 HTTP。

使用 HAProxy 可以吗？

Answer 1

这可以做到，但 TLS (SSL) 不允许您按照您设想的方式进行。

首先，HAProxy 允许您指定默认证书和附加证书的目录。

来自documentation for the crt keyword

If a directory name is used instead of a PEM file, then all files found in that directory will be loaded in alphabetic order unless their name ends with '.issuer', '.ocsp' or '.sctl' (reserved extensions). This directive may be specified multiple times in order to load certificates from multiple files or directories. The certificates will be presented to clients who provide a valid TLS Server Name Indication field matching one of their CN or alt subjects. Wildcards are supported, where a wildcard character '*' is used instead of the first hostname component (eg: *.example.org matches www.example.org but not www.sub.example.org).

If no SNI is provided by the client or if the SSL library does not support TLS extensions, or if the client provides an SNI hostname which does not match any certificate, then the first loaded certificate will be presented. This means that when loading certificates from a directory, it is highly recommended to load the default one first as a file or to ensure that it will always be the first one in the directory.

因此，您所需要的只是一个包含 pem 文件中每个证书/链/ key 的目录，以及像这样修改您的配置:

bind 0.0.0.0:443 ssl crt /etc/haproxy/my-default.pem crt /etc/haproxy/my-cert-directory

请注意，您还应该添加 no-sslv3 .

I want to use add a variable to call te specific certificate for each website

如文档中所述，如果浏览器发送服务器名称标识 (SNI)，则 HAProxy 将自动使用适当的证书与浏览器协商。

因此，可配置的证书选择不是必需的，但更重要的是，这是不可能的。 SSL/TLS 不能那样工作(任何地方)。在浏览器成功协商安全通道之前，您不知道浏览器将请求哪个网站，因为浏览器尚未发送请求。

如果浏览器不使用 SNI——这个问题应该几乎完全不相关了——或者如果文件中没有与 SNI 中显示的主机名相匹配的证书——那么默认证书用于与浏览器协商。

I'd like also check if the ssl is real available and in case is not available switch to http with a redirect

这也是不可能的。请记住，首先协商加密，然后才是浏览器发送的 HTTP 请求。

因此，用户永远不会看到您的重定向，除非他们绕过浏览器的安全警告——他们必须看到，因为默认证书中的主机名与浏览器希望在证书中看到的主机名不匹配。

在这一点上，强制他们返回 http 没有什么意义，因为通过绕过浏览器安全警告，他们已经建立了一个连接——同时——不受信任但仍然加密。连接在技术上是安全的，但用户在地址栏中有一个红色的×，因为浏览器正确地认为证书无效(由于主机名不匹配)。但在用户坚持绕过警告的情况下，浏览器仍然使用无效证书建立安全通道。

如果你真的想在所有这些之后重定向，你需要看一下 layer 5 fetches .您需要验证 Host header 是否与 SNI 或默认证书匹配，如果您的证书是通配符，您也需要适应它，但这仍然只会发生 在用户绕过安全警告之后。

想象一下，如果事情如此简单，没有有效证书的 Web 服务器可以通过简单地重定向流量来劫持流量，而不需要浏览器要求服务器的证书有效(或用户故意采取行动来绕过警告)，并且它应该变得显而易见为什么你最初的想法不仅行不通，而且实际上不应该行得通。

另请注意，从配置目录加载的证书都是在启动时加载的。如果您需要 HAProxy 发现新的或丢弃旧的，则需要热重启 HAProxy(通常是 sudo service haproxy reload)。