在当今互联网环境中，HTTPS已成为网站安全的标配。作为一款高性能的负载均衡器，HAProxy在配置HTTPS时，证书管理是重中之重。本文将用通俗易懂的语言，结合实战案例，带你彻底掌握HAProxy的HTTPS证书配置技巧。

一、为什么HTTPS证书对HAProxy如此重要？

想象一下HAProxy就像一位机场安检员：

- 无证书的HTTP：如同放任乘客不检查直接登机（明文传输数据）

- 有证书的HTTPS：每位乘客必须出示护照（证书验证），行李过X光机（加密传输）

真实案例：

2025年某电商平台因未配置HTTPS证书，导致用户支付信息被中间人攻击窃取。接入HAProxy+HTTPS后，不仅安全性提升，还因浏览器"小绿锁"标志提升了用户信任度。

二、证书准备阶段：三种常见方案对比

方案1：自签名证书（测试环境）

```bash

openssl req -x509 -newkey rsa:2048 -nodes -keyout server.key -out server.crt -days 365

```

特点：

- 免费快速生成

- 浏览器会显示警告（适合内网测试）

- 类似小区门禁卡，只能内部识别

方案2：Let's Encrypt免费证书

certbot certonly --standalone -d example.com

优势：

- 正规CA机构颁发

- 90天有效期（需配置自动续期）

- 相当于公园年卡，免费但需定期更新

方案3：商业付费证书

典型代表：

- DigiCert/Sectigo的OV/EV证书

- 包含企业验证和保险赔付

- 类似VIP会员卡，额外增值服务

三、HAProxy配置实战五步走

以Let's Encrypt证书为例：

步骤1：合并证书链

cat /etc/letsencrypt/live/example.com/fullchain.pem \

/etc/letsencrypt/live/example.com/privkey.pem \

> /etc/haproxy/certs/example.com.pem

??注意：必须包含完整链式结构，就像快递包裹需要完整的寄件人-中转站-收件人信息

步骤2：基础配置模板

```haproxy

frontend https_in

bind *:443 ssl crt /etc/haproxy/certs/example.com.pem alpn h2,http/1.1

http-response set-header Strict-Transport-Security "max-age=31536000; includeSubDomains"

HTTP到HTTPS重定向（关键安全设置）

redirect scheme https code 301 if !{ ssl_fc }

步骤3：OCSP装订优化（提升性能）

ssl-default-bind-ciphers ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256

ssl-default-bind-options no-tls-tickets no-tlsv10 no-tlsv11 prefer-client-ciphers ssl-min-ver TLSv1.2

ssl-default-server-ciphers ECDHE-RSA-AES128-GCM-SHA256:ECDHE-RSA-AES256-GCM-SHA384

步骤4：多域名SNI支持（虚拟主机场景）

bind *:443 ssl crt-list /etc/haproxy/sni.list

sni.list文件内容：

/etc/haproxy/certs/site1.pem [verify optional] site1.com www.site1.com

/etc/haproxy/certs/site2.pem [verify optional] site2.com *.site2.com

步骤5：自动化续期脚本

!/bin/bash

cert-renew.sh

systemctl stop haproxy

certbot renew --quiet --post-hook "systemctl restart haproxy"

四、常见故障排查指南

问题1："SSL handshake failure"错误

?可能原因：

- 证书链不完整（查看`openssl x509 -in cert.pem -text`）

TAG:haproxy之https证书,log,haproxy consul,haproxy proxy protocol