เพิ่มการสิ้นสุด SSL ให้กับ HAProxy บน Ubuntu 14.04

• ความต้องการ
• สร้างใบรับรองและรหัสส่วนตัว
• กำหนดค่า HAProxy

บทความนี้จะแนะนำคุณเกี่ยวกับการตั้งค่าการเลิกจ้าง SSL บน HAProxy สำหรับการเข้ารหัสปริมาณข้อมูลผ่าน HTTPS เราจะใช้ใบรับรอง SSL ที่ลงชื่อด้วยตนเองสำหรับส่วนหน้าใหม่ สมมุติว่าคุณติดตั้ง HAProxy แล้วและกำหนดค่าด้วยส่วนหน้า HTTP มาตรฐาน

ความต้องการ

• Vultr VPS
• HAProxy 1.5
• Ubuntu 14.04 LTS (ควรทำงานกับรุ่นอื่นและการกระจาย)

สร้างใบรับรองและรหัสส่วนตัว

เรียกใช้บรรทัดของรหัสต่อไปนี้เพื่อสร้างคีย์ส่วนตัวและใบรับรองแบบลงนามด้วยตนเองที่จะทำงานกับ HAProxy

openssl genrsa -out /etc/ssl/private/server.key 2048
mkdir /etc/ssl/csr
openssl req -new -key /etc/ssl/private/server.key -out /etc/ssl/csr/server.csr
openssl x509 -req -days 365 -in /etc/ssl/csr/server.csr -signkey /etc/ssl/private/server.key -out /etc/ssl/certs/server.crt
cat /etc/ssl/certs/server.crt /etc/ssl/private/server.key > /etc/ssl/certs/server.bundle.pem

กำหนดค่า HAProxy

สิ่งแรกที่คุณควรทำคือต้องแน่ใจว่า SSLv3 ถูกปิดใช้งาน เนื่องจากการโจมตี POODLE SSLv3 จึงไม่ได้รับการพิจารณาว่าปลอดภัยอีกต่อไป แอปพลิเคชันและเซิร์ฟเวอร์ทั้งหมดควรใช้ TLS 1.0 ขึ้นไป /etc/haproxy/haproxy.cfgใช้โปรแกรมแก้ไขข้อความที่คุณชื่นชอบให้เปิดไฟล์ ภายในค้นหาบรรทัดssl-default-bind-options no-sslv3ใต้globalส่วน หากคุณไม่เห็นให้เพิ่มบรรทัดนั้นที่ส่วนท้ายของส่วนก่อนdefaultsส่วน สิ่งนี้จะช่วยให้มั่นใจได้ว่า SSLv3 ถูกปิดใช้งานทั่วโลก คุณสามารถตั้งค่าไว้ในส่วนหน้าของคุณได้ แต่ขอแนะนำให้ปิดการใช้งานทั่วโลก

เข้าสู่การตั้งค่า HTTPS web-httpsสร้างส่วนหน้าใหม่ที่ชื่อว่า

frontend web-https 
        bind public_ip:443 ssl crt /etc/ssl/certs/server.bundle.pem 
        reqadd X-Forwarded-Proto:\ https 
        rspadd Strict-Transport-Security:\ max-age=31536000 
        default_backend www-backend 

อธิบาย:

• bind public_ip:443(เปลี่ยนpublic_ipเป็น IP สาธารณะ VPS ของคุณ) บอกให้ HAProxy รับฟังคำขอใด ๆ ที่ส่งไปยังที่อยู่ ip บนพอร์ต443(พอร์ต HTTPS)
• ssl crt /etc/ssl/certs/server.bundle.pem บอก HAProxy ให้ใช้ใบรับรอง SSL ที่สร้างขึ้นก่อนหน้านี้
• reqadd X-Forwarded-Proto:\ https เพิ่มส่วนหัว HTTPS ในตอนท้ายของคำขอที่เข้ามา
• rspadd Strict-Transport-Security:\ max-age=31536000 นโยบายความปลอดภัยเพื่อป้องกันการโจมตีแบบดาวน์เกรด

คุณไม่จำเป็นต้องทำการเปลี่ยนแปลงเพิ่มเติมใด ๆ กับส่วนแบ็กเอนด์ของคุณ

หากคุณต้องการให้ HAProxy ใช้ HTTPS ตามค่าเริ่มต้นให้เพิ่มredirect scheme https if !{ ssl_fc }ไปยังส่วนเริ่มต้นของwww-backendส่วน สิ่งนี้จะบังคับให้เปลี่ยนเส้นทาง HTTPS

บันทึกคอนฟิกูเรชันของคุณและรันservice haproxy restartเพื่อรีสตาร์ท HAPRoxy ตอนนี้คุณพร้อมที่จะใช้ HAProxy กับ SSL endpoint แล้ว