配置SSL的HAProxy无法与启用严格mTLS的Istio网格通信求助

你的核心问题是HAProxy作为Istio网格外的客户端，未正确配置符合Istio mTLS要求的客户端证书及相关参数，导致Istio的Envoy代理拒绝了请求。以下是具体问题点和修复方案：

1. 客户端证书配置参数错误 #

你在server-template中使用的crt参数，是HAProxy作为服务端时用来提供自身证书的参数。而此处HAProxy是客户端，需要向Istio代理提供客户端证书，应替换为以下参数：

• cert: 指定客户端证书文件（PEM格式，需包含证书和私钥）
• ca-file: 指定信任的Istio根CA证书（用于验证Istio代理的服务端证书）

2. 缺少SNI配置 #

Istio的Envoy代理依赖SNI（Server Name Indication）来完成路由和证书验证，HAProxy需要显式设置SNI为目标服务的域名db1.db1.svc.cluster.local。

3. 证书文件要求 #

你需要获取Istio签发的合规客户端证书：

• 证书必须由Istio根CA签发，可通过istioctl工具生成或利用Istio证书管理机制获取
• 客户端证书文件需合并证书与私钥为单一PEM格式文件；CA证书文件为Istio根CA的PEM格式证书

修改后的HAProxy配置示例 #

global
    log stdout format raw local0 info
    maxconn 1024
    
defaults
    log global
    mode http
    timeout client 60s
    timeout connect 60s
    timeout server 60s

frontend fe_main
    bind *:19530 proto h2
    mode http
    http-request capture req.hdr(Host) len 100
    default_backend be_db1

backend be_db1
    mode http 
    server-template db1-milvus 1 db1.db1.svc.cluster.local:19530 
        check 
        proto h2 
        ssl 
        verify required 
        ca-file /etc/certs/shared/istio-root-ca.pem 
        cert /etc/certs/shared/db1_haproxy_client_cert.pem
        sni str(db1.db1.svc.cluster.local)

配置说明 #

• verify required: 启用对Istio代理服务端证书的验证（替代原verify none，生产环境不建议禁用验证）
• ca-file: 指定Istio根CA证书，用于验证代理的服务端证书合法性
• cert: 指定HAProxy作为客户端的证书与私钥文件（合并为单一PEM文件）
• sni str(...): 显式设置SNI为目标服务域名，匹配Istio代理的预期值

额外检查点 #

• 确保HAProxy所在环境（Pod/节点）能正常读取证书文件，且文件权限符合要求
• 通过HAProxy日志（已配置输出到stdout）查看SSL握手错误信息，可进一步定位问题

内容的提问来源于stack exchange，提问作者AIR