关于HAProxy HTTPS后端健康检查显示L6ok而非L7ok的技术咨询

这是个很常见的配置误区，咱们一步步拆解来理清楚：

首先得明确HAProxy状态码的含义：L6ok代表第6层（TCP/SSL握手）检查通过，L7ok才是第7层（HTTP应用层）检查通过。你明明配置了option httpchk（L7级别的检查规则），却只显示L6ok，核心问题出在健康检查的传输方式上。

看你的配置细节：

• 你给后端服务器加了ssl check，这会让HAProxy先完成SSL握手（这就是L6层的检查）。
• 你配置的option httpchk GET / HTTP/1.1\r\nHost:\ www.domain.tld，默认是发送明文HTTP请求的——但你的后端监听的是443端口（SSL加密端口），明文HTTP请求会被服务器直接拒绝，HAProxy拿不到HTTP响应，自然没法完成L7层面的验证。

所以HAProxy只能确认SSL握手是正常的（也就是L6ok），但没法验证HTTP服务的可用性。

修复方案 #

在default-server或者单个server配置行里加上check-ssl参数，告诉HAProxy发送httpchk请求时也要用SSL加密：

backend back:lb
  option httpchk GET / HTTP/1.1\r\nHost: www.domain.tld
  default-server ca-file my.ca inter 10s maxconn 50 maxqueue 10 ssl check check-ssl
  server lb-01.{{ domain }} 10.10.10.30:443 weight 100
  server lb-02.{{ domain }} 10.10.10.31:443 weight 100

另外提个小细节：你写的Host:\后面多了个空格，虽然HAProxy可能兼容，但标准格式应该是Host: www.domain.tld，建议修正掉，避免不必要的潜在问题。

加上check-ssl后，HAProxy会先完成SSL握手，再通过加密通道发送HTTP检查请求，这样就能触发L7层的验证，状态页就会显示L7ok了。

内容的提问来源于stack exchange，提问作者Mickael Brangeon