Adicionar terminação SSL ao HAProxy no Ubuntu 14.04

• Exigências
• Gerar certificado e chave privada
• Configurar HAProxy

Este artigo orientará você na configuração da terminação SSL no HAProxy, para criptografar o tráfego por HTTPS. Usaremos um certificado SSL autoassinado para o novo frontend. Supõe-se que você já tenha o HAProxy instalado e configurado com um front-end HTTP padrão.

Exigências

• Vultr VPS
• HAProxy 1.5
• Ubuntu 14.04 LTS (deve funcionar em outras versões e distribuição)

Gerar certificado e chave privada

Execute as seguintes linhas de código para gerar uma chave privada e um certificado autoassinado que funcionará com o HAProxy.

openssl genrsa -out /etc/ssl/private/server.key 2048
mkdir /etc/ssl/csr
openssl req -new -key /etc/ssl/private/server.key -out /etc/ssl/csr/server.csr
openssl x509 -req -days 365 -in /etc/ssl/csr/server.csr -signkey /etc/ssl/private/server.key -out /etc/ssl/certs/server.crt
cat /etc/ssl/certs/server.crt /etc/ssl/private/server.key > /etc/ssl/certs/server.bundle.pem

Configurar HAProxy

A primeira coisa que você deve fazer é garantir que o SSLv3 esteja desativado. Devido ao ataque do POODLE, o SSLv3 não é mais considerado seguro. Todos os aplicativos e servidores devem usar o TLS 1.0 e superior. Usando seu editor de texto favorito, abra o arquivo /etc/haproxy/haproxy.cfg. Dentro, procure a linha ssl-default-bind-options no-sslv3abaixo da globalseção. Se você não a vir, adicione essa linha no final da seção antes da defaultsseção. Isso garantirá que o SSLv3 seja desativado globalmente. Você também pode configurá-lo nas seções de front-end, mas é recomendável desativá-lo globalmente.

Na configuração HTTPS. Crie uma nova seção de front-end denominada web-https.

frontend web-https 
        bind public_ip:443 ssl crt /etc/ssl/certs/server.bundle.pem 
        reqadd X-Forwarded-Proto:\ https 
        rspadd Strict-Transport-Security:\ max-age=31536000 
        default_backend www-backend 

Explicar:

• bind public_ip:443(mude public_ippara o seu IP público do VPS) diz ao HAProxy para ouvir qualquer solicitação enviada ao endereço IP na porta 443(a porta HTTPS).
• ssl crt /etc/ssl/certs/server.bundle.pem informa ao HAProxy para usar o certificado SSL gerado anteriormente.
• reqadd X-Forwarded-Proto:\ https adiciona o cabeçalho HTTPS ao final da solicitação recebida.
• rspadd Strict-Transport-Security:\ max-age=31536000 uma política de segurança para evitar ataques de downgrade.

Você não precisa fazer alterações adicionais na seção de back-end.

Se você deseja que o HAProxy use HTTPS por padrão, adicione redirect scheme https if !{ ssl_fc }ao início da www-backendseção. Isso forçará o redirecionamento HTTPS.

Salve sua configuração e execute service haproxy restartpara reiniciar o HAPRoxy. Agora você está pronto para usar o HAProxy com um ponto de extremidade SSL.