Adăugați Terminarea SSL la HAProxy pe Ubuntu 14.04

• cerinţe
• Generați certificat și cheie privată
• Configurați HAProxy

Acest articol vă va ghida prin configurarea terminării SSL pe HAProxy, pentru criptarea traficului prin HTTPS. Vom folosi un certificat SSL auto-semnat pentru noul frontend. Se presupune că aveți deja HAProxy instalat și configurat cu un frontend HTTP standard.

cerinţe

• Vultr VPS
• HAProxy 1.5
• Ubuntu 14.04 LTS (ar trebui să funcționeze pe alte versiuni și distribuție)

Generați certificat și cheie privată

Rulați următoarele linii de cod pentru a genera o cheie privată și un certificat semnat cu sine care va funcționa cu HAProxy.

openssl genrsa -out /etc/ssl/private/server.key 2048
mkdir /etc/ssl/csr
openssl req -new -key /etc/ssl/private/server.key -out /etc/ssl/csr/server.csr
openssl x509 -req -days 365 -in /etc/ssl/csr/server.csr -signkey /etc/ssl/private/server.key -out /etc/ssl/certs/server.crt
cat /etc/ssl/certs/server.crt /etc/ssl/private/server.key > /etc/ssl/certs/server.bundle.pem

Configurați HAProxy

Primul lucru pe care trebuie să îl faceți este să vă asigurați că SSLv3 este dezactivat. Datorită atacului POODLE, SSLv3 nu mai este considerat sigur. Toate aplicațiile și serverele ar trebui să utilizeze TLS 1.0 și versiuni ulterioare. Cu ajutorul editorului de text preferat, deschideți fișierul /etc/haproxy/haproxy.cfg. În interior, căutați linia de ssl-default-bind-options no-sslv3sub globalsecțiune. Dacă nu o vedeți, adăugați această linie la sfârșitul secțiunii înainte de defaultssecțiune. Acest lucru va asigura că SSLv3 este dezactivat la nivel global. Puteți să o setați și în interiorul secțiunilor frontend, dar este recomandat să o dezactivați la nivel global.

La configurarea HTTPS. Creați o nouă secțiune frontend numită web-https.

frontend web-https 
        bind public_ip:443 ssl crt /etc/ssl/certs/server.bundle.pem 
        reqadd X-Forwarded-Proto:\ https 
        rspadd Strict-Transport-Security:\ max-age=31536000 
        default_backend www-backend 

A explica:

• bind public_ip:443(schimbare public_ipla ip-ul dvs. public VPS) îi spune HAProxy să asculte orice solicitare care este trimisă la adresa IP din port 443(portul HTTPS).
• ssl crt /etc/ssl/certs/server.bundle.pem îi spune HAProxy să utilizeze certificatul SSL generat anterior.
• reqadd X-Forwarded-Proto:\ https adaugă antetul HTTPS la sfârșitul cererii primite.
• rspadd Strict-Transport-Security:\ max-age=31536000 o politică de securitate pentru a preveni atacurile de downgrade.

Nu trebuie să faceți modificări suplimentare secțiunii de backend.

Dacă doriți ca HAProxy să utilizeze HTTPS în mod implicit, adăugați redirect scheme https if !{ ssl_fc }la începutul www-backendsecțiunii. Acest lucru va forța redirecționarea HTTPS.

Salvați configurația și rulați service haproxy restartpentru a reporni HAPRoxy. Acum sunteți toți pregătiți să utilizați HAProxy cu un punct final SSL.