Patroni+PostgreSQL+Haproxy架构下Haproxy层SSL启用后的连接验证问题

核心原因 #

修改Haproxy配置后，psql的SSL连接对象从PostgreSQL后端节点变成了Haproxy本身，原连接命令中指定的sslrootcert是用于验证PostgreSQL节点证书的CA，无法匹配Haproxy的SSL证书，导致验证失败。

解决步骤 #

1. 确认Haproxy证书的信任链 #

确保你拥有能验证Haproxy所用server.crt的CA证书：

• 如果Haproxy的证书由内部CA签发，获取该CA的根证书文件（比如haproxy-ca.pem）；
• 如果是自签证书，直接使用Haproxy的server.crt作为信任证书（仅自签场景适用）。

2. 修改psql连接命令 #

将sslrootcert参数替换为Haproxy证书对应的CA文件路径，示例：

psql "host=<haproxy_ip> port=5000 user=postgres dbname=postgres sslmode=verify-ca sslrootcert=/path/to/haproxy-ca.pem"

• 若为自签证书场景，可使用sslmode=verify-full（需确保Haproxy证书的CN或SAN包含<haproxy_ip>）；测试阶段也可临时用sslmode=require跳过验证（生产环境不推荐）。

3. 验证Haproxy的SSL配置正确性 #

检查Haproxy的bind配置是否合规：

• Haproxy的ssl参数要求指定的文件是包含私钥+证书的组合文件，如果你的server.crt只有证书，需将私钥和证书合并到一个文件，或分开指定：

  bind *:5000 ssl crt /etc/haproxy/server.crt key /etc/haproxy/server.key
  

• 重启Haproxy后，用openssl s_client -connect <haproxy_ip>:5000命令测试SSL连接是否正常，确认证书链完整。

4. 端到端SSL的额外验证（可选） #

若需保持psql→Haproxy→PostgreSQL全链路SSL加密，确保Haproxy与PostgreSQL节点之间的SSL检查配置不变（即原server行的check-ssl等参数保留），同时保证Haproxy能通过ca-file正确验证PostgreSQL的证书。

内容的提问来源于stack exchange，提问作者student10101