4

新しいバージョンのhaproxyをセットアップしましたが、TLSを無効にする必要があり、「notlsv1」キーワードが機能しません。私の実際の構成では、スタッドを使用して次のパラメーターでhttpsセッションを管理しています。

-B 1000 -n 8 -b 127.0.0.1 8080 -f *、443 --ssl -c ALL --write-proxy

そして、私は彼を新しいhaproxyバージョンに置き換えようとしています。

私の構成ファイル：

global
  log 127.0.0.1   local0 info
  maxconn 32000
  user haproxy
  group haproxy
  daemon
  nbproc 1
  stats socket    /tmp/haproxy.sock

defaults
  timeout connect 10000
  timeout client 30000
  timeout server 30000

listen ha_stats 0.0.0.0:8088
  balance source
  mode http
  timeout client 30000ms
  stats enable
  stats uri /lb?stats

frontend https-requests
   mode http
   bind :80
   bind :443 ssl crt ./haproxy.pem notlsv1
   acl is_front hdr(host) -i front.mydomain.com
   acl is_service hdr(host) -i service.mydomain.com
   use_backend bkfront if is_front
   use_backend bkservice if is_service

   default_backend mydomain.com

backend mydomain.com
    mode http
    server mywebsite www.mydomain.com:80

backend bkfront
    mode http
    balance roundrobin
    option httpchk GET / HTTP/1.1\r\nHost:\ front.mydomain.com

     server web05 192.168.200.5:80 check

    backend bkservice
      mode http
      balance roundrobin
      option httpchk GET / HTTP/1.1\r\nHost:\ service.mydomain.com

      server web01 192.168.200.1:80 check

httpセッションとhttpsセッションはFirefoxで非常にうまく機能しますが、ChromeとInternetExplorerに問題があります。それらを解決するには、スタッドを使用して--sslを追加する必要があります。

ありがとう、

解決：

ウィリーの助けに感謝します。以下に、この問題を解決するためのコマンドを示します。

wget http://haproxy.1wt.eu/download/1.5/src/devel/haproxy-1.5-dev12.tar.gz
wget http://haproxy.1wt.eu/download/1.5/src/snapshot/haproxy-1.5-dev12-patches-LATEST.tar.gz
tar xvzf haproxy-1.5-dev12.tar.gz
mv haproxy-1.5-dev12-patches-LATEST.tar.gz haproxy-1.5-dev12
cd haproxy-1.5-dev12/
tar xvzf haproxy-1.5-dev12-patches-LATEST.tar.gz
patch -p1 < haproxy-1.5-dev12-patches-20121009/*.diff
make TARGET=linux26 USE_OPENSSL=1
sudo make PREFIX=/opt/haproxy-ssl install

そして交換してください：

bind :443 ssl crt ./haproxy.pem notlsv1

に：

bind :443 ssl crt ./haproxy.pem force-sslv3
4

1 に答える 1

3

これは、OpenSSLでは、notlsv1がTLSv1.0のみを無効にし、それ以降のバージョンは無効にしないためです。これが必要な場合は、サイトから最新のスナップショットをダウンロードし、「notlsv1」の代わりに「force-sslv3」を使用することをお勧めします。SSLv3を排他的に使用するように強制し、スタッドで現在使用していることを実行します。

于 2012-10-09T11:50:07.373 に答える