HAProxy SSL配置直接运行正常，systemctl启动失败（Fedora）

环境信息 #

• 操作系统：Fedora

错误日志 #

通过journalctl -u haproxy.service --since today --no-pager查看的错误：

Dec 01 15:17:13 fedora systemd[1]: Starting haproxy.service - HAProxy Load Balancer...
Dec 01 15:17:13 fedora systemd[1]: haproxy.service: Control process exited, code=exited, status=1/FAILURE
Dec 01 15:17:13 fedora systemd[1]: haproxy.service: Failed with result 'exit-code'.
Dec 01 15:17:13 fedora systemd[1]: Failed to start haproxy.service - HAProxy Load Balancer.

执行systemctl start haproxy后，systemctl status haproxy -l --no-pager的输出：

× haproxy.service - HAProxy Load Balancer
     Loaded: loaded (/usr/lib/systemd/system/haproxy.service; disabled; preset: disabled)
    Drop-In: /usr/lib/systemd/system/service.d
             └─10-timeout-abort.conf
     Active: failed (Result: exit-code) since Fri 2023-12-01 15:06:29 PST; 16ms ago
   Duration: 1min 15.417s
    Process: 65885 ExecStartPre=/usr/sbin/haproxy -f $CONFIG -f $CFGDIR -c -q $OPTIONS (code=exited, status=1/FAILURE)
        CPU: 5ms

Dec 01 15:06:29 fedora systemd[1]: Starting haproxy.service - HAProxy Load Balancer...
Dec 01 15:06:29 fedora systemd[1]: haproxy.service: Control process exited, code=exited, status=1/FAILURE
Dec 01 15:06:29 fedora systemd[1]: haproxy.service: Failed with result 'exit-code'.
Dec 01 15:06:29 fedora systemd[1]: Failed to start haproxy.service - HAProxy Load Balancer

SSL密钥生成 #

SSL密钥在/SSL目录下通过以下命令生成：

openssl req -x509 -newkey rsa:4096 -keyout certificate.pem.key -out certificate.pem -sha256 -days 20000 -nodes -subj "/C=/ST=/L=/O=/OU=/CN="

HAProxy配置文件 #

配置文件通过haproxy -V -f /etc/haproxy/haproxy.cfg验证有效：

global
    daemon
    maxconn 256

defaults
    mode http
    timeout connect 5000ms
    timeout client 50000ms
    timeout server 50000ms


frontend www
    mode http
    bind :80

    # 移除该行后，systemctl可正常启动haproxy.service
    # 私钥路径为"/SSL/certificate.pem.key"
    bind :443 ssl crt "/SSL/certificate.pem"

    default_backend sites
    
backend sites
    balance leastconn
    server server1 0.0.0.0:8000 check
    server server2 0.0.0.0:8001 check

问题现象 #

• 通过systemctl start haproxy启动服务失败，失败在ExecStartPre阶段（配置检查步骤）
• 直接执行systemd服务中定义的启动命令/usr/sbin/haproxy -Ws -f /etc/haproxy/haproxy.cfg -f /etc/haproxy/conf.d -p /run/haproxy.pid，HAProxy可正常启动，配置文件完全相同

解决方案分析 #

1. 权限与SELinux限制 #

systemd服务默认以haproxy用户/组运行（可查看/usr/lib/systemd/system/haproxy.service中的User/Group配置），而直接执行命令时使用当前用户权限，可能存在以下问题：

• /SSL目录或证书文件权限不足，haproxy用户无法读取：
  执行以下命令调整权限：

  chown -R haproxy:haproxy /SSL
  chmod -R 600 /SSL/*
  

• SELinux策略阻止haproxy访问/SSL目录：
  临时关闭SELinux验证（仅用于测试）：

  setenforce 0
  

  若测试后服务可启动，为/SSL目录添加SELinux上下文：

  semanage fcontext -a -t haproxy_exec_t "/SSL(/.*)?"
  restorecon -Rv /SSL
  

2. HAProxy证书文件格式问题 #

HAProxy的crt参数默认期望单个文件包含私钥+证书的组合内容，当前生成的是分开的certificate.pem.key和certificate.pem，虽直接执行命令能启动，但systemd预检查步骤可能更严格：
将私钥和证书合并到一个文件：

cat /SSL/certificate.pem.key /SSL/certificate.pem > /SSL/combined.pem

修改HAProxy配置中的bind行：

bind :443 ssl crt "/SSL/combined.pem"

3. systemd服务配置参数问题 #

检查/usr/lib/systemd/system/haproxy.service中的ExecStartPre命令，确认是否有额外参数导致配置检查失败。可修改ExecStartPre输出调试信息：

ExecStartPre=/usr/sbin/haproxy -f $CONFIG -f $CFGDIR -c -V

重新加载systemd配置并启动服务查看详细错误：

systemctl daemon-reload
systemctl start haproxy

内容的提问来源于stack exchange，提问作者Bryan Grace