إضافة إنهاء SSL إلى HAProxy على Ubuntu 14.04

• المتطلبات
• إنشاء شهادة ومفتاح خاص
• تكوين HAProxy

ستوجهك هذه المقالة خلال إعداد إنهاء SSL على HAProxy لتشفير حركة المرور عبر HTTPS. سنستخدم شهادة SSL موقعة ذاتيًا للواجهة الأمامية الجديدة. من المفترض أن HAProxy مثبت بالفعل ومهيأ مع واجهة HTTP قياسية.

المتطلبات

• Vultr VPS
• HAProxy 1.5
• Ubuntu 14.04 LTS (يجب أن يعمل على الإصدارات والتوزيع الأخرى)

إنشاء شهادة ومفتاح خاص

قم بتشغيل أسطر التعليمات البرمجية التالية لإنشاء مفتاح خاص وشهادة موقعة ذاتيًا ستعمل مع HAProxy.

openssl genrsa -out /etc/ssl/private/server.key 2048
mkdir /etc/ssl/csr
openssl req -new -key /etc/ssl/private/server.key -out /etc/ssl/csr/server.csr
openssl x509 -req -days 365 -in /etc/ssl/csr/server.csr -signkey /etc/ssl/private/server.key -out /etc/ssl/certs/server.crt
cat /etc/ssl/certs/server.crt /etc/ssl/private/server.key > /etc/ssl/certs/server.bundle.pem

تكوين HAProxy

أول شيء يجب عليك فعله هو التأكد من تعطيل SSLv3. بسبب هجوم POODLE ، لم يعد SSLv3 يعتبر آمنًا. يجب أن تستخدم جميع التطبيقات والخوادم TLS 1.0 وما فوق. افتح الملف باستخدام محرر النصوص المفضل لديك /etc/haproxy/haproxy.cfg. في الداخل ، ابحث عن الخط ssl-default-bind-options no-sslv3تحت globalالقسم. إذا كنت لا ترى ذلك ، أضف هذا السطر في نهاية القسم قبل defaultsالقسم. سيضمن ذلك تعطيل SSLv3 عالميًا. يمكنك أيضًا تعيينه داخل أقسام الواجهة الأمامية ، ولكن يوصى بتعطيله على مستوى العالم.

على إعداد HTTPS. إنشاء قسم جديد للواجهة الأمامية باسم web-https.

frontend web-https 
        bind public_ip:443 ssl crt /etc/ssl/certs/server.bundle.pem 
        reqadd X-Forwarded-Proto:\ https 
        rspadd Strict-Transport-Security:\ max-age=31536000 
        default_backend www-backend 

لشرح:

• bind public_ip:443(التغيير public_ipإلى VPS public ip الخاص بك) يخبر HAProxy بالاستماع إلى أي طلب يتم إرساله إلى عنوان IP على المنفذ 443(منفذ HTTPS).
• ssl crt /etc/ssl/certs/server.bundle.pem تخبر HAProxy باستخدام شهادة SSL التي تم إنشاؤها سابقًا.
• reqadd X-Forwarded-Proto:\ https يضيف رأس HTTPS إلى نهاية الطلب الوارد.
• rspadd Strict-Transport-Security:\ max-age=31536000 سياسة أمنية لمنع هجمات تخفيض المستوى.

لا تحتاج إلى إجراء أي تغييرات إضافية على قسم الواجهة الخلفية.

إذا كنت ترغب في أن يستخدم HAProxy HTTPS افتراضيًا ، فأضف redirect scheme https if !{ ssl_fc }إلى بداية www-backendالقسم. سيؤدي هذا إلى إعادة توجيه HTTPS.

حفظ التكوين الخاص بك وتشغيل لتشغيل service haproxy restartHAPRoxy. أنت الآن جاهز لاستخدام HAProxy مع نقطة نهاية SSL.