HAProxy 2.6.9开启TLS终止后HTTP请求重定向报SSL握手失败求助

核心问题是：当你在bind指令中开启强制SSL终止时，HAProxy会先要求客户端完成TLS握手，才能读取后续的应用层数据。但你的场景中存在明文HTTP请求，这类请求不会发起TLS握手，直接发送HTTP数据，导致HAProxy触发SSL握手失败错误，根本无法走到后续的HTTP检测逻辑。

针对HAProxy 2.6.9，你需要调整配置，让同一个端口同时支持明文HTTP和加密TLS流量，具体修改如下：

修改后的完整配置 #

frontend smqtt
    bind :8883 ssl optional crt <path_to_crt> verify optional ca-file <path_to_ca>
    mode tcp
    tcp-request inspect-delay 5s
    # 捕获HTTP协议标识
    tcp-request content capture req.proto_http len 1
    # 明文HTTP请求转发到端口检测后端
    use_backend port_check if HTTP
    # SSL加密流量要求验证客户端证书并转发到MQTT后端
    tcp-request content verify if ssl_fc
    use_backend brokers if ssl_fc
    # 拒绝既不是HTTP也不是SSL的无效流量
    tcp-request content reject if !HTTP !ssl_fc

backend port_check
    mode http
    http-request return content-type "text/plain" string "Port Check Success"

backend brokers
    mode tcp
    server Broker1 <ip-address> check

关键配置说明 #

• ssl optional：这是核心调整，让HAProxy不再强制要求TLS握手，而是自动检测客户端行为——如果客户端发起TLS Client Hello则处理加密流量，否则直接传递明文数据。
• verify optional + tcp-request content verify if ssl_fc：仅对SSL加密流量要求验证客户端证书，明文HTTP请求无需证书验证，避免不必要的错误。
• 条件判断逻辑：先识别明文HTTP请求转发到检测后端，再识别SSL加密流量转发到MQTT后端，最后拒绝其他无效流量，确保端口只处理预期的两种请求类型。

内容的提问来源于stack exchange，提问作者Bart Remans