Lisage Ubuntu 14.04 HAProxyle SSL-i lõpetamine

See artikkel juhendab teid SSL-i lõpetamise seadistamises HAProxys, et krüpteerida liiklust HTTPS-i kaudu. Kasutame uue kasutajaliidese jaoks iseallkirjastatud SSL-sertifikaati. Eeldatakse, et teil on HAProxy juba installitud ja standardse HTTP-liidesega konfigureeritud.

Nõuded

• Vultr VPS
• HAProxy 1.5
• Ubuntu 14.04 LTS (peaks töötama teiste versioonide ja levitamise korral)

Looge sertifikaat ja privaatvõti

HAProxyga töötava privaatvõtme ja iseallkirjastatud sertifikaadi genereerimiseks käivitage järgmised koodiread.

openssl genrsa -out /etc/ssl/private/server.key 2048
mkdir /etc/ssl/csr
openssl req -new -key /etc/ssl/private/server.key -out /etc/ssl/csr/server.csr
openssl x509 -req -days 365 -in /etc/ssl/csr/server.csr -signkey /etc/ssl/private/server.key -out /etc/ssl/certs/server.crt
cat /etc/ssl/certs/server.crt /etc/ssl/private/server.key > /etc/ssl/certs/server.bundle.pem

HAProxy seadistamine

Esimene asi, mida peaksite tegema, on veenduda, et SSLv3 on keelatud. POODLE rünnaku tõttu ei peeta SSLv3 enam turvaliseks. Kõik rakendused ja serverid peaksid kasutama TLS 1.0 ja uuemat versiooni. Avage fail oma lemmiktekstiredaktoriga /etc/haproxy/haproxy.cfg. Otsige seest jaotise ssl-default-bind-options no-sslv3all olevat joont global. Kui te seda ei näe, lisage see rida jaotise lõppu enne defaultsjaotist. See tagab, et SSLv3 on globaalselt keelatud. Saate selle määrata ka oma esiosa jaotistes, kuid soovitatav on see globaalselt keelata.

HTTPS-i seadistusse. Looge uus kasutajaliidese jaotis nimega web-https.

frontend web-https 
        bind public_ip:443 ssl crt /etc/ssl/certs/server.bundle.pem 
        reqadd X-Forwarded-Proto:\ https 
        rspadd Strict-Transport-Security:\ max-age=31536000 
        default_backend www-backend 

Selgitama:

• bind public_ip:443(muuda public_ipoma VPS-i avalikule IP-le) käsib HAProxyl kuulata kõiki päringuid, mis saadetakse pordi IP-aadressile 443(HTTPS-port).
• ssl crt /etc/ssl/certs/server.bundle.pem käsib HAProxyl kasutada eelnevalt loodud SSL-sertifikaati.
• reqadd X-Forwarded-Proto:\ https lisab sissetuleva päringu lõppu HTTPS-i päise.
• rspadd Strict-Transport-Security:\ max-age=31536000 turvapoliitika, mis takistab alandamise rünnakuid.

Te ei pea oma taustaprogrammi jaotises täiendavaid muudatusi tegema.

Kui soovite, et HAProxy kasutaks vaikimisi HTTPS-i, lisage jaotise redirect scheme https if !{ ssl_fc }algusesse www-backend. See sunnib HTTPS-i ümbersuunamist.

Salvestage konfiguratsioon ja service haproxy restartkäivitage HAPRoxy taaskäivitamiseks. Nüüd olete valmis kasutama HAProxyt SSL-i lõpp-punktiga.