Dodaj zakończenie SSL do HAProxy na Ubuntu 14.04

• Wymagania
• Wygeneruj certyfikat i klucz prywatny
• Skonfiguruj HAProxy

W tym artykule przeprowadzimy Cię przez konfigurację zakańczania protokołu SSL w HAProxy w celu szyfrowania ruchu przez HTTPS. W nowym interfejsie będziemy używać samopodpisanego certyfikatu SSL. Zakłada się, że masz już zainstalowany HAProxy i skonfigurowany ze standardową nakładką HTTP.

Wymagania

• Vultr VPS
• HAProxy 1.5
• Ubuntu 14.04 LTS (powinien działać na innych wersjach i dystrybucji)

Wygeneruj certyfikat i klucz prywatny

Uruchom następujące wiersze kodu, aby wygenerować klucz prywatny i samopodpisany certyfikat, który będzie działał z HAProxy.

openssl genrsa -out /etc/ssl/private/server.key 2048
mkdir /etc/ssl/csr
openssl req -new -key /etc/ssl/private/server.key -out /etc/ssl/csr/server.csr
openssl x509 -req -days 365 -in /etc/ssl/csr/server.csr -signkey /etc/ssl/private/server.key -out /etc/ssl/certs/server.crt
cat /etc/ssl/certs/server.crt /etc/ssl/private/server.key > /etc/ssl/certs/server.bundle.pem

Skonfiguruj HAProxy

Pierwszą rzeczą, którą powinieneś zrobić, to upewnić się, że SSLv3 jest wyłączony. Z powodu ataku POODLE protokół SSLv3 nie jest już uważany za bezpieczny. Wszystkie aplikacje i serwery powinny korzystać z TLS 1.0 i nowszych. Otwórz ulubiony edytor tekstu /etc/haproxy/haproxy.cfg. W środku poszukaj linii ssl-default-bind-options no-sslv3pod globalsekcją. Jeśli go nie widzisz, dodaj ten wiersz na końcu sekcji przed defaultssekcją. Zapewni to globalne wyłączenie protokołu SSLv3. Możesz także ustawić go w swoich sekcjach interfejsu, ale zaleca się wyłączenie go globalnie.

Na konfiguracji HTTPS. Utwórz nową sekcję interfejsu użytkownika o nazwie web-https.

frontend web-https 
        bind public_ip:443 ssl crt /etc/ssl/certs/server.bundle.pem 
        reqadd X-Forwarded-Proto:\ https 
        rspadd Strict-Transport-Security:\ max-age=31536000 
        default_backend www-backend 

Wytłumaczyć:

• bind public_ip:443(zmiana public_ipna publiczny adres IP VPS) informuje HAProxy, aby wysłuchał każdego żądania wysłanego na adres IP na porcie 443(port HTTPS).
• ssl crt /etc/ssl/certs/server.bundle.pem informuje HAProxy, aby używał wcześniej wygenerowanego certyfikatu SSL.
• reqadd X-Forwarded-Proto:\ https dodaje nagłówek HTTPS na końcu przychodzącego żądania.
• rspadd Strict-Transport-Security:\ max-age=31536000 polityka bezpieczeństwa zapobiegająca atakom obniżającym wersję.

Nie musisz wprowadzać żadnych dodatkowych zmian w sekcji zaplecza.

Jeśli chcesz, aby HAProxy domyślnie używał HTTPS, dodaj redirect scheme https if !{ ssl_fc }na początku www-backendsekcji. Wymusi to przekierowanie HTTPS.

Zapisz konfigurację i uruchom, service haproxy restartaby zrestartować HAPRoxy. Teraz możesz już używać HAProxy z punktem końcowym SSL.