Come posso usare HAproxy con SSL e ottenere intestazioni X-Forwarded-For E dire a PHP che SSL è in uso?

Ho la seguente configurazione:

(internet) ---> [  pfSense Box  ]    /-> [ Apache / PHP server ]
                [running HAproxy] --+--> [ Apache / PHP server ]
                                    +--> [ Apache / PHP server ]
                                     \-> [ Apache / PHP server ]

Per le richieste HTTP funziona alla grande , le richieste sono distribuite sui miei server Apache bene. Per le richieste SSL, avevo HAproxy che distribuiva le richieste usando il bilanciamento del carico TCP, e ha funzionato comunque poiché HAproxy non ha funzionato come proxy, non ha aggiunto l' X-Forwarded-Forintestazione HTTP e i server Apache / PHP non conoscevano il client indirizzo IP reale.

Quindi, ho aggiunto stunneldavanti a HAproxy, leggendo che lo stunnel potrebbe aggiungere l' X-Forwarded-Forintestazione HTTP. Tuttavia, il pacchetto che ho potuto installare in pfSense non aggiunge questa intestazione ... inoltre, questo apparentemente uccide la mia capacità di usare le richieste KeepAlive , che vorrei davvero conservare. Ma il problema più grande che ha ucciso quell'idea era che lo stunnel ha convertito le richieste HTTPS in semplici richieste HTTP, quindi PHP non sapeva che SSL era abilitato e ha cercato di reindirizzare al sito SSL.

Come posso usare HAproxy per bilanciare il carico su un numero di server SSL, consentendo a questi server sia di conoscere l'indirizzo IP del client sia di sapere che SSL è in uso? E se possibile, come posso farlo sul mio server pfSense?

O dovrei abbandonare tutto questo e usare solo nginx?

Non è necessario lasciar perdere tutto, puoi semplicemente usare nginx davanti a haproxy per il supporto SSL, mantenendo tutta la configurazione del bilanciamento del carico. Non è nemmeno necessario utilizzare nginx per HTTP se non si desidera. Nginx può passare sia X-Forwarded-For sia un'intestazione personalizzata che indica che SSL è in uso (e, se lo si desidera, le informazioni sul certificato client). Snippet di configurazione Nginx che invia le informazioni richieste:

proxy_set_header SCHEME $scheme;      # http/https
proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
proxy_set_header CLIENT_CERT $ssl_client_raw_cert;

Solo per la cronaca, poiché questo thread viene spesso indicato in merito a HAProxy + SSL, HAProxy supporta SSL nativo su entrambi i lati da 1.5-dev12. Quindi avere X-Forwarded-For, HTTP keep-alive così come un'intestazione che dice al server che la connessione è stata fatta tramite SSL è semplice come la seguente:

listen front
    bind :80
    bind :443 ssl crt /etc/haproxy/haproxy.pem
    mode http
    option http-server-close
    option forwardfor
    http-request set-header X-Forwarded-Proto https if { ssl_fc }
    server srv1 1.1.1.1:80 check ...
    ...

Sono sicuro che quando avrai inventato qualcosa di diverso, ma almeno i nuovi visitatori avranno ora la soluzione semplice :-)

Per chiunque abbia trovato questa domanda, ho seguito il consiglio di Ochoto e ho usato nginx. Ecco i passaggi specifici che ho usato per farlo funzionare sul mio router pfSense :

1. Usando l'interfaccia web di pfsense , ho installato il pacchetto pfsense PfJailctl e il pacchetto "jail_template" in Sistema> Pacchetti in modo da poter creare una jail FreeBSD sotto la quale compilare e installare nginx sul sistema pfsense.

2. Ho configurato una jail per il mio server nginx in Servizi> Jail , dando alla nuova jail lo stesso nome host e lo stesso indirizzo IP dell'alias IP virtuale su cui avevo in esecuzione HAproxy. Ho legato la prigione all'interfaccia WAN. Ho usato il modello jail predefinito e abilitato unionfs piuttosto che nullfs.

3. Una volta che la prigione era stata avviata, sono entrato nella scatola pfsense e sono corso jlsa cercare il numero della prigione. Corsi quindi jexec 1 sha prendere una granata all'interno della prigione. Da lì ho impostato le porte BSD e installato nginx usando:

   portsnap extract
   portsnap fetch update
   cd /usr/ports/www/nginx
   make install clean
   

4. Ho quindi configurato nginx per l'ascolto sulla porta 443 e ho passato tutte le richieste a HAproxy sulla porta 80, incluso l'IP reale e lo stato SSL all'interno delle intestazioni HTTP. Il mio usr/local/etc/nginx/nginx.confaspetto è:

   worker_processes  1;
   
   events {
       worker_connections  2048;
   }
   
   http {
       upstream haproxy {
           server 209.59.186.35:80;
       }
   
       server {
           listen       443;
           server_name  my.host.name default_server;
           ssl                  on;
           ssl_certificate      my.crt;
           ssl_certificate_key  my.key;
           ssl_session_timeout  5m;
   
           ssl_protocols  SSLv3 TLSv1;
           ssl_ciphers  HIGH:!aNULL:!MD5;
           ssl_prefer_server_ciphers   on;
   
           location / {
               proxy_pass http://haproxy;
   
               proxy_set_header Host $host;
               proxy_set_header X-Real-IP $remote_addr;
               proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
   
               proxy_set_header X-Forwarded-Proto https;
           }
       }
   
   }
   

5. Ho quindi modificato la mia applicazione PHP per rilevare l' X-Forwarded-Protointestazione HTTP:

   function usingSSL()
   {
       return (
          (isset($_SERVER['HTTPS']) && strtolower($_SERVER['HTTPS']) == 'on' )
           || (isset($_SERVER['HTTP_X_FORWARDED_PROTO'])
                  && strtolower($_SERVER['HTTP_X_FORWARDED_PROTO']) == 'https' ));
   }
   

Quindi l'installazione finale è:

(internet) ---> [ -> nginx -> haproxy -]--> (pool of apache servers)
                [    (pfSense server)  ]

La mia configurazione per una versione 1.5-dev-17 di haproxy:

global
        log 127.0.0.1   local0
        log 127.0.0.1   local1 notice
        #log loghost    local0 info
        maxconn 4096
        #chroot /usr/share/haproxy
        user haproxy
        group haproxy
        daemon
        #debug
        #quiet

defaults
        log     global
        mode    http
        option  httplog
        option  dontlognull
        option  http-server-close
        retries 3
        option redispatch
        fullconn 1000        
        maxconn 1000
        timeout queue 600s
        timeout connect 5s
        timeout client 600s
        timeout server 600s

frontend http-in
        bind *:80
        bind *:443 ssl crt /usr/local/etc/ssl/certs
        reqadd X-Forwarded-Proto:\ https if { ssl_fc }
        default_backend varnish-ha
        option forwardfor
backend varnish-ha
  server hafront1 10.1.69.1:6081  minconn 100 maxqueue 10000

Utilizza l' ssl_fcACL. Si noti che la option http-server-closeparte è molto importante.

HAProxy non può colpire un backend SSL senza usare la modalità TCP grezza, perdendo X-Forwarded-For, ma potresti potenzialmente ricrittografare il traffico con uno stunnel di ascolto per il transito di backend. Brutto, però.

Mi piace l'approccio di Ochoto meglio, con un avvertimento: nginx è un bilanciamento del carico perfettamente capace; se lo stai usando, direi di usarlo per tutto. Proxy del tuo HTTPS in arrivo per caricare back-end HTTPS bilanciati e, in questo modo, non sono necessarie intestazioni personalizzate per le informazioni SSL (a meno che non sia necessario il certificato client).

L'anno scorso ho implementato una soluzione per integrare HAProxy con pfSense in modo da sfruttare tutte le funzionalità di HAProxy e mantenere un buon isolamento con pfSense. In modo che sia un'opzione praticabile per gli ambienti di produzione . SSL è terminato su HAProxy . Ho installato HAProxy in una jail in pfSense usando ezjail e Ports Collection . In questo modo è molto semplice mantenere entrambi i componenti in modo indipendente. E puoi installare qualunque versione tu voglia. Ho iniziato con 1.5-dev13. E da allora funziona perfettamente per me. Ho documentato il tutto qui.

Installazione di HAProxy su pfSense

A proposito Willy, grazie mille per un prodotto così eccellente.