关键词：HAProxy SSL 多证书

一、为什么需要HAProxy支持多SSL证书？

想象一下你经营一家跨国电商网站：

- 用户A从美国访问 `shop.com`（主域名）

- 用户B从德国访问 `shop.de`（德国子站）

- 用户C通过API调用 `api.shop.com`

如果只配置单一证书，浏览器会弹出警告（如下图），严重影响用户体验和SEO排名。这就是需要多SSL证书的核心场景。


二、HAProxy多证书配置核心方案

方案1：SNI（Server Name Indication）技术

就像快递员送货前先确认门牌号，SNI允许客户端在TLS握手时就告知目标域名。配置示例：

```haproxy

frontend https_in

bind *:443 ssl crt /etc/haproxy/certs/shop.com.pem crt /etc/haproxy/certs/shop.de.pem

关键指令 ↓

tcp-request inspect-delay 5s

tcp-request content accept if { req_ssl_hello_type 1 }

```

注意事项：

- Windows XP/Java 6等老旧客户端不支持SNI

- 证书文件需合并私钥+证书链（`cat cert.pem key.pem > combined.pem`）

方案2：分端口绑定（兼容性方案）

frontend shop_com

bind *:443 ssl crt /etc/haproxy/certs/shop.com.pem

use_backend %[req.hdr(host)]

frontend shop_de

bind *:8443 ssl crt /etc/haproxy/certs/shop.de.pem

适合需要绝对兼容的场景，但用户体验差（需记忆端口号）。

三、实战中的五个典型问题

Case1：混合使用通配符和单域名证书

假设你有：

- `*.api.shop.com`（通配符证书）

- `payment.shop.com`（独立EV证书）

正确做法是将通配符证书放在最后：

bind *:443 ssl crt /etc/haproxy/certs/payment.pem crt /etc/haproxy/certs/wildcard_api.pem

Case2：OCSP装订性能优化

当有20+证书时，OCSP验证可能成为瓶颈。解决方案：

global

tune.ssl.ocsp-update on

开启后台OCSP更新

defaults

timeout http-keep-alive 300s

Case3：国密SSL双证书部署

针对等保2.0要求：

bind :443 ssl crt /etc/haproxy/rsa_cert.pem crt /etc/haproxy/sm2_cert.pem alpn h2,http/1.1

四、高级技巧：动态加载证书

通过Runtime API实现不停机更新：

```bash

准备新证书目录

mkdir -p /etc/haproxy/certs_update

热加载命令示例 （HAProxy ≥1.8）

echo "set ssl cert /etc/haproxy/certs/shop.com.pem <<\n$(cat new_cert.pem)\n" | \

socat /var/run/haproxy.sock -

五、安全加固 Checklist

1. 禁用过时协议：

```haproxy

bind *:443 ssl crt ... no-tls-tickets force-tlsv12

```

2. 启用HSTS头：

http-response set-header Strict-Transport-Security "max-age=63072000; includeSubDomains; preload"

3. 日志监控建议：

log-format "%ci:%cp [%t] %ft %b/%s %Tq/%Tw/%Tc/%Tr/%Tt %ST %B %CC %CS %tsc %ac/%fc/%bc/%sc/%rc %sq/%bq %hr %hs %{+Q}r"

六、性能测试数据参考

| 场景 | QPS (RSA2048) | CPU负载 |

|--|||

| 单证书 | 12,000 | 38% |

| SNI多证(5个) | 9,800 | 52% |

| TLS硬件加速 | >20,000 | <30% |

建议超过10个证书时考虑：

? TLS终止专用设备

? Intel QAT加速卡

> 延伸思考：随着QUIC/HTTP3的普及，未来可能需要同时维护TLS和QUIC两种加密栈的证书体系，这是下一个技术演进方向。你现在就可以通过HAProxy的`nbproc`参数为不同协议分配独立进程。

TAG:haproxy ssl 多证书,proxy_ssl,ssl证书 nginx,ssl证书多域名,ssl proxying