ssl - Haproxy作为ssl pathtrough中的反向代理问题

Question

我在我们的组织中将 haproxy 设置为反向代理。我们希望当客户端请求某个网站(如联想或 Oracle 等)时......请求必须通过我们的反向代理服务器传递。(因为我们的客户端设置了我们的 dns 服务器并且我将反向代理的 ip 定义为我们 dns 中的此类域服务器)。我使用 SSL 直通。但在这种情况下我遇到了一些问题。1- 有时 haproxy 不能正常工作并且无法加载正确的证书。例如，当我想看到 www.amazon.com haproxy 加载错误的证书(SSL_ERROR_BAD_CERT_DOMAIN)时，firefox 阻止加载网站。在这种情况下，我在 haproxy 配置中有 www.intel.com，所以 haproxy 会感到困惑，并使用英特尔证书网站加载 www.amazon.com。2-我希望*.oracle.com或*.lenovo.com等网站的所有子域都通过我们的反向代理，这样我们就不需要在haproxy服务器中一个一个地注册网站的子域。我尝试使用 -reg 或匹配模式方法，但它们都需要到达最终目的地。3- 有时重定向无法正常工作，我们面临 http 到 https 重定向错误。(有时客户端输入 lenovo.com 或 intel.com(表示 http 请求)。为了解决这个问题，我定义了 http 前端并将所有请求重定向到 https除了 acl 的一个假设请求。但我的问题有时会出现。

Answer 1

这很简单，通过 req_ssl_sni 并编写简单的 acl 来转发请求，但注意只写单个前端和后端，因为多前端和后端会导致 haproxy 困惑。