kubernetes - 使用 istio-ingressgateway 作为 SSL 后端的 Haproxy

Question

最初我使用模式 tcp 进行测试，并且可以正常工作。 haproxy tcp passthru 配置如下:

frontend https_in
        bind *:443
        mode tcp
        option forwardfor
        option tcplog
        log global
        default_backend https_backend

backend https_backend
        mode tcp
        server s1 10.21.0.60:31390 check
        server s2 10.21.0.169:31390 check
        server s3 10.21.0.173:31390 check

模式 http 配置应该如何？我需要解密流量，注入(inject)一些 header (如 forwarded-for)并再次加密，将其发送到 ssl istio ingress-gateway 后端。

我的配置尝试很多(并且不成功)这里是一个快照:

frontend https_in
    mode http
    bind *:443 ssl crt /etc/haproxy/prod.pem crt /etc/haproxy/dev.pem crt /etc/haproxy/stg.pem no-sslv3

    option http-server-close
    option forwardfor
    reqadd X-Forwarded-Proto:\ https
    reqadd X-Forwarded-Port:\ 443

    rspadd  Strict-Transport-Security:\ max-age=15768000

    tcp-request inspect-delay 5s
    tcp-request content accept if { req_ssl_hello_type 1 }
    acl acl_app1 req_ssl_sni -i mydomain.test
    use_backend https_backend if acl_app1

backend https_backend
    mode http
    server s1 10.21.0.60:31390 check ssl verify none

在 haproxy 日志中我看到

haproxy[12734]: Server https_backend/s1 is DOWN, reason: Layer6 invalid response, info: "SSL handshake failure (Connection reset by peer)", check duration: 1ms. 0 active and 0 backup servers left. 0 sessions active, 0 requeued, 0 remaining in queue.
haproxy[12734]: Server https_backend/s1 is DOWN, reason: Layer6 invalid response, info: "SSL handshake failure (Connection reset by peer)", check duration: 1ms. 0 active and 0 backup servers left. 0 sessions active, 0 requeued, 0 remaining in queue.
haproxy[12734]: backend https_backend has no server available!

如果我删除检查，但仍然尝试查询 haproxy:

haproxy[13381]: https_in~ https_in/<NOSRV> -1/-1/-1/-1/0 503 213 - - SC-- 1/1/0/0/0 0/0 "GET / HTTP/1.1"

我无法确定将 SNI 设置从 haproxy 传递到 istio 以使其工作。

我在调试日志级别的 envoyproxy 和 istio-ingressgateway 的日志中也找不到任何有用的东西。

Answer 1

自从您发布此问题以来已经有一段时间了，但是我遇到了同样的问题。所以我能够使用 openssl s_client 验证 HAProxy 错误。命令。openssl s_client -connect ip:port将返回 write:errno=104这意味着它是 Connection reset by peer错误。
但是当我提供服务器名称时，我能够成功连接到后端:openssl s_client -connect ip:port -servername server.name .
在从 HAProxy 中挖掘后端选项后，我偶然发现了 check-sni选项，其中提到:

This option allows you to specify the SNI to be used when doing health checksover SSL. It is only possible to use a string to set . ...

所以我使用这个选项来配置后端服务器如下

server lokomotive-contour ip:port ssl verify none check-sni server.name sni str(server.name) check

关键部分是 check-sni前面提到的选项；这会在运行状况检查期间配置 SNI。
但我也找到了 sni str()使通过此后端的常规流量路由正常工作所必需的选项。
ps:请确保您使用的是 HAProxy 1.8 或更高版本，因为 check-sni仅从 1.8 开始支持😉
希望我的回答以后能帮到你