HAProxy 2.4容器化邮件协议反向代理（含SSL终止）配置问题咨询

嘿，看起来你在容器里配置HAProxy 2.4做邮件多协议的SSL终止反向代理时遇到了POP3/S的问题，我来帮你捋捋配置里的问题和优化方向～

先说说你当前配置里的几个关键问题 #

你的需求是让HAProxy做SSL终止，然后把流量转发到后端邮件服务器的加密端口（比如POP3S的995、IMAPS的993），但当前配置有几个点没匹配上这个需求：

• 明文端口的转发逻辑错配：比如pop-in监听110端口（明文POP3），但直接转发到后端的110端口（明文），如果你的后端邮件服务器110端口没开明文服务，就会被拒绝；而且这也不符合你“转发到后端加密端口”的需求。
• STARTTLS场景的SSL处理缺失：对于110、143、25这些通常支持STARTTLS的明文端口，你只做了TCP监听，没配置HAProxy来终止STARTTLS触发后的SSL连接，导致SSL请求被后端拒绝。
• 超时和健康检查缺失：所有backend都没加check参数，HAProxy无法感知后端服务器的状态，容易出现超时问题；同时默认超时配置可能不适合邮件协议的长连接特性。

修正后的配置方案（贴合你的需求） #

根据你“HAProxy做SSL终止，转发到后端加密端口”的目标，调整后的配置如下：

# 全局配置（容器环境下必备，适配日志和进程设置）
global
    log /dev/log local0 info
    maxconn 4096
    user haproxy
    group haproxy
    daemon

defaults
    log global
    mode tcp
    option tcplog
    option dontlognull
    # 邮件协议需要长连接，调整超时时间
    timeout connect 5s
    timeout client 30m
    timeout server 30m
    timeout tunnel 1h

# ------------------------------
# 直接处理加密端口的Frontend（SSL终止）
# ------------------------------
frontend smtps-in
    bind *:465 ssl crt /usr/local/etc/haproxy/ssl  # SMTP原生加密端口用465更标准，587是提交端口（支持STARTTLS）
    use_backend smtps-backend

frontend imaps-in
    bind *:993 ssl crt /usr/local/etc/haproxy/ssl
    use_backend imaps-backend

frontend pops-in
    bind *:995 ssl crt /usr/local/etc/haproxy/ssl
    use_backend pops-backend

frontend https-in
    bind *:443 ssl crt /usr/local/etc/haproxy/ssl
    use_backend https-backend

# ------------------------------
# 处理明文端口（支持STARTTLS，HAProxy终止SSL后转发到后端加密端口）
# ------------------------------
frontend smtp-in
    bind *:25
    tcp-request inspect-delay 5s
    # 允许SSL hello包和普通明文请求，适配STARTTLS场景
    tcp-request content accept if { req_ssl_hello_type 1 } or { req_len gt 0 }
    use_backend smtps-backend  # 转发到后端465加密端口

frontend imap-in
    bind *:143
    tcp-request inspect-delay 5s
    tcp-request content accept if { req_ssl_hello_type 1 } or { req_len gt 0 }
    use_backend imaps-backend  # 转发到后端993加密端口

frontend pop-in
    bind *:110
    tcp-request inspect-delay 5s
    tcp-request content accept if { req_ssl_hello_type 1 } or { req_len gt 0 }
    use_backend pops-backend  # 转发到后端995加密端口

# ------------------------------
# 后端配置（全部指向邮件服务器的加密端口，添加健康检查）
# ------------------------------
backend smtps-backend
    server mailserver 192.168.2.254:465 check

backend imaps-backend
    server mailserver 192.168.2.254:993 check

backend pops-backend
    server mailserver 192.168.2.254:995 check

backend https-backend
    server mailserver 192.168.2.254:443 check

关键调整说明 #

• 端口映射修正：所有前端终止SSL后的流量，统一转发到后端邮件服务器的加密端口，完全匹配你“发送到后端加密端口”的需求。
• STARTTLS支持：针对明文端口，配置了SSL hello包检查，确保HAProxy能正确处理STARTTLS触发后的SSL连接，避免后端拒绝请求。
• 长连接和健康检查：添加了适合邮件协议的超时配置，同时给后端服务器加上check参数，HAProxy会自动检测后端状态，减少超时问题。
• SMTP端口规范：把SMTP加密端口从587改成465，因为587通常是客户端提交邮件的端口（主要支持STARTTLS），465才是SMTP原生加密的标准端口；如果你的后端必须用587，要确保后端587端口支持直接SSL连接（而非仅STARTTLS）。

测试步骤建议 #

1. 测试POP3S（995）：用命令openssl s_client -connect 你的HAProxy容器IP:995检查SSL终止是否正常，然后尝试登录邮件服务器验证流量转发。
2. 测试POP3（110）：先用telnet 你的HAProxy容器IP:110发送STARTTLS命令，再用openssl s_client -connect 你的HAProxy容器IP:110 -starttls pop3检查SSL是否正常终止。
3. 查看日志排查：在容器里查看HAProxy日志（比如tail -f /var/log/haproxy.log），看连接是否正常转发，有没有报错信息。

备注：内容来源于stack exchange，提问作者Unpossible