Přidejte ukončení SSL do HAProxy na Ubuntu 14.04

Tento článek vás provede nastavením ukončení SSL na HAProxy pro šifrování provozu přes HTTPS. Pro nový frontend budeme používat certifikát SSL s vlastním podpisem. Předpokládá se, že již máte HAProxy nainstalované a nakonfigurované se standardním HTTP frontendem.

Požadavky

• Vultr VPS
• HAProxy 1.5
• Ubuntu 14.04 LTS (Mělo by fungovat na jiných verzích a distribucích)

Vygenerujte certifikát a soukromý klíč

Spuštěním následujících řádků kódu vygenerujte soukromý klíč a certifikát s vlastním podpisem, který bude fungovat s HAProxy.

openssl genrsa -out /etc/ssl/private/server.key 2048
mkdir /etc/ssl/csr
openssl req -new -key /etc/ssl/private/server.key -out /etc/ssl/csr/server.csr
openssl x509 -req -days 365 -in /etc/ssl/csr/server.csr -signkey /etc/ssl/private/server.key -out /etc/ssl/certs/server.crt
cat /etc/ssl/certs/server.crt /etc/ssl/private/server.key > /etc/ssl/certs/server.bundle.pem

Nakonfigurujte HAProxy

První věc, kterou byste měli udělat, je ujistit se, že je zakázáno SSLv3. Kvůli útoku POODLE již není SSLv3 považováno za bezpečné. Všechny aplikace a servery by měly používat TLS 1.0 a vyšší. Pomocí svého oblíbeného textového editoru otevřete soubor /etc/haproxy/haproxy.cfg. Uvnitř hledejte řádek ssl-default-bind-options no-sslv3pod globalsekcí. Pokud jej nevidíte, přidejte tento řádek na konec oddílu před defaultsoddíl. To zajistí, že SSLv3 bude globálně zakázáno. Můžete to také nastavit ve svých frontendových sekcích, ale doporučujeme to globálně zakázat.

Na nastavení HTTPS. Vytvořte novou frontendovou sekci s názvem web-https.

frontend web-https 
        bind public_ip:443 ssl crt /etc/ssl/certs/server.bundle.pem 
        reqadd X-Forwarded-Proto:\ https 
        rspadd Strict-Transport-Security:\ max-age=31536000 
        default_backend www-backend 

Vysvětlit:

• bind public_ip:443(změna public_ipna vaši veřejnou IP VPS) říká HAProxy, aby poslouchala jakýkoli požadavek, který je odeslán na IP adresu na portu 443(port HTTPS).
• ssl crt /etc/ssl/certs/server.bundle.pem říká HAProxy, aby použila dříve vygenerovaný certifikát SSL.
• reqadd X-Forwarded-Proto:\ https přidá hlavičku HTTPS na konec příchozího požadavku.
• rspadd Strict-Transport-Security:\ max-age=31536000 bezpečnostní politiku, která zabrání útokům na nižší verzi.

V sekci backend nemusíte provádět žádné další změny.

Pokud si přejete, aby HAProxy standardně používal HTTPS, přidejte redirect scheme https if !{ ssl_fc }na začátek www-backendsekce. To vynutí přesměrování HTTPS.

Uložte konfiguraci a spuštěním service haproxy restartrestartujte HAPRoxy. Nyní jste připraveni používat HAProxy s koncovým bodem SSL.