如何配置HAProxy实现七层请求按域名及端口转发至对应后端

问题分析 #

你的测试配置存在两个核心问题，无法实现按域名的七层转发需求：

1. 443端口未做SSL终止：HTTPS请求的Host头加密在SSL/TLS层内，HAProxy不解密的话无法读取Host头做七层匹配，当前对443端口的转发实际是四层转发，不符合需求。
2. 转发规则逻辑不严谨：当前规则只要请求端口是443就转发到对应后端，没有结合域名条件，无法实现按域名区分的七层转发。

修正后的可用配置 #

# 全局基础配置（若已有可保留）
global
    log /dev/log local0
    log /dev/log local1 notice
    chroot /var/lib/haproxy
    stats socket /run/haproxy/admin.sock mode 660 level admin expose-fd listeners
    stats timeout 30s
    user haproxy
    group haproxy
    daemon

defaults
    log     global
    mode    http
    option  httplog
    option  dontlognull
    timeout connect 5000
    timeout client  50000
    timeout server  50000

# 前端：统一处理80/443请求，443端口强制SSL终止以读取七层Host头
frontend http_https_entry
    bind :80
    bind :443 ssl crt /etc/haproxy/certs/example.com.pem  # 替换为你的SSL证书路径，需包含example.com和www.example.com
    # 定义域名匹配规则（不区分大小写）
    acl match_example_domain hdr(host) -i example.com www.example.com
    # 按域名+端口组合转发
    use_backend example_80_backend if match_example_domain { dst_port 80 }
    use_backend example_443_backend if match_example_domain { dst_port 443 }
    # 非匹配域名的默认处理（可选，避免无匹配时返回503）
    default_backend fallback_backend

# 80端口后端集群
backend example_80_backend
    balance roundrobin
    server backend_node1 10.1.0.17:80 check

# 443端口后端集群
backend example_443_backend
    balance roundrobin
    server backend_node1 10.1.0.17:443 check

# 默认 fallback 后端（可选）
backend fallback_backend
    server fallback_node 127.0.0.1:8080 check

关键配置说明 #

• SSL终止：bind :443 ssl crt ... 是实现七层转发的核心，让HAProxy完成SSL解密，才能读取HTTP层的Host头进行域名匹配。证书需包含所有需要匹配的域名（如example.com、www.example.com），可通过OpenSSL生成多域名证书。
• ACL规则：hdr(host) -i ... 用于不区分大小写匹配请求的Host头，确保覆盖主域名和www子域名。
• 转发逻辑：通过match_example_domain { dst_port XX }的组合条件，严格实现"符合指定域名的80请求转80后端、443请求转443后端"的需求。
• 配置验证：修改后先执行haproxy -f /path/to/haproxy.cfg -c检查语法，再用systemctl reload haproxy重载服务。

内容的提问来源于stack exchange，提问作者0x2c4