ssl - 能否将 HA 代理配置为将 SSL 端口转发到 443？

Question

我想通过 HA 代理在端口 5281 上路由 BOSH HTTPS 流量。 HA Proxy 已经在端口 443 上路由 SSL。也就是说，我想用相同的证书加密端口 443 和 5281。 443 转发到我的网络集群。 5281 转发到我的 XMPP 服务器。

我使用 Tutum docker 云管理，所以我使用的是他们的 HA Proxy 的 dockerized 版本。但是我在这里看不到做我想做的事的方法:https://github.com/tutumcloud/tutum-docker-clusterproxy

相比之下，我可以使用 Amazon Load Balancer 做到这一点，但我仍然必须将其转发给 HA Proxy 来平衡我的容器，因为 ALB 不处理端口级平衡，并且 HA Proxy 通过链接的容器很好地集成。但是在这个过程中我丢失了我的 X-Forwarded-Proto header (它不像 X-Forward-For 那样连接)，所以在这个设置中我无法判断原始流量是否经过 SSL 加密(并相应地重定向它) .这样的设置也有点复杂 - 在不同的环境中一个负载均衡器在另一个之前 - 糟糕。

有什么想法可以让 HA Proxy 完成所有事情吗？

Answer 1

如果我正确地解释了您的问题，那么指示 HAProxy 在任何端口上监听 https 流量就足够简单了。

frontend https-on-another-port
    bind *:5281 ssl no-sslv3 crt /etc/haproxy/path-to-ssl-cert.crt

如果在入站连接上使用了 SSL，您还可以在出站连接上自动添加 X-Forwarded-Proto header 。在任何代理声明中:

http-request set-header X-Forwarded-Proto https if { ssl_fc }
http-request set-header X-Forwarded-Proto http unless { ssl_fc }

ssl_fc 是针对“前端连接使用 SSL”(或 TLS)的内置 bool 测试。