AWS - Network Load Balancer - HAProxy. Redirect to 443 port

Question

Всем привет.

На AWS настроен Network Load Balancer, слушает 80 и 443 порты. Через TargetGroup к EC2-instance пакеты летят по 443 TLS-порту. К нему прикреплен SSL-сертификат домена. На EC2-instance установлен и настроен HAProxy. HAproxy пересылает запросы на backend-сервера c nginx. Если в браузере набрать https://example.com или http://example.com, то все работает. Если в конфигурации HAProxy настроить редирект http->https, то сайт падает в ошибку ERR_TOO_MANY_REDIRECTS. Это была первая конфигурация.
Менял конфигурацию. Удалил сертификат из NLB в AWS и прописал в Listener порт 443 в TCP, а не в TLS. Тогда ситуация такая - https://example.com работает, а http://example.com не работает падая в ошибку.
Затем настроил NLB что HealthCheck для TargetGroup идет по TCP 80-му порту, а не по 443-му. И к моему удивлению сайт начал падать в ошибку ERR_SSL_PROTOCOL_ERROR (редирект с http на https отрабатывает).

Как все-таки корректно настроить редирект на SSL на NLB через HAProxy?

HAProxy config:

global
    log /dev/log    local0
    log /dev/log    local1 notice
    chroot /var/lib/haproxy
    stats socket /run/haproxy/admin.sock mode 660 level admin expose-fd listeners
    stats timeout 30s
    user haproxy
    group haproxy
    daemon

    # Default SSL material locations
    ca-base /etc/ssl/certs
    crt-base /etc/ssl/private

    # Default ciphers to use on SSL-enabled listening sockets.
    # For more information, see ciphers(1SSL). This list is from:
    #  https://hynek.me/articles/hardening-your-web-servers-ssl-ciphers/
    # An alternative list with additional directives can be obtained from
    #  https://mozilla.github.io/server-side-tls/ssl-config-generator/?server=haproxy
    ssl-default-bind-ciphers ECDH+AESGCM:DH+AESGCM:ECDH+AES256:DH+AES256:ECDH+AES128:DH+AES:RSA+AESGCM:RSA+AES:!aNULL:!MD5:!DSS
    ssl-default-bind-options no-sslv3

defaults
    log global
    mode    http
    option  httplog
    option  dontlognull
        timeout connect 5000
        timeout client  50000
        timeout server  50000
    errorfile 400 /etc/haproxy/errors/400.http
    errorfile 403 /etc/haproxy/errors/403.http
    errorfile 408 /etc/haproxy/errors/408.http
    errorfile 500 /etc/haproxy/errors/500.http
    errorfile 502 /etc/haproxy/errors/502.http
    errorfile 503 /etc/haproxy/errors/503.http
    errorfile 504 /etc/haproxy/errors/504.http

frontend www-http
    bind *:80
    reqadd X-Forwarded-Proto:\ http
    default_backend www-backend

frontend www-https
    bind *:443 ssl crt /etc/ssl/private/example.pem
    reqadd X-Forwarded-Proto:\ https
    default_backend www-backend

backend www-backend
    redirect scheme https if !{ ssl_fc }
    server www-1 <IP>:443 check ssl verify none

Спасибо.

БЛОГ НА HUSL

AWS - Network Load Balancer - HAProxy. Redirect to 443 port

Ответы (0 шт):