Kubernetes Ingress TLS配置自定义证书却返回HAProxy默认证书问题

1. 确认Secret有效性 #

• 检查Secret所在命名空间：HAProxy Ingress Controller只能访问同命名空间或授权过的命名空间的Secret。执行kubectl get secrets -n <haproxy-ingress-namespace>，确认wopi Secret存在。如果Ingress和Secret不在同一命名空间，需给Controller的ServiceAccount添加对应命名空间的Secret读取权限。
• 验证Secret内容：
  导出证书对比本地文件：kubectl get secret wopi -o jsonpath='{.data.tls\.crt}' | base64 -d，和本地的wopi.public.fr.crt比对内容是否一致。
  导出密钥对比本地文件：kubectl get secret wopi -o jsonpath='{.data.tls\.key}' | base64 -d，和本地的wopi.public.fr.key比对内容是否一致。

2. 核对Ingress资源配置 #

• 查看Ingress实际配置：执行kubectl get ingress <your-ingress-name> -o yaml，确认TLS段配置完全正确：

  tls:
  - hosts:
    - wopi.public.fr
    secretName: wopi
  

  确保hosts字段和访问域名完全匹配，secretName和创建的Secret名称一致。
• 检查Ingress注解：如果Ingress配置了haproxy.org/ssl-certificate注解，该值会覆盖tls.secretName的配置，需移除或调整为wopi Secret的名称（跨命名空间时格式为<namespace>/<secret-name>）。

3. 验证HAProxy Controller权限与日志 #

• 检查Controller权限：执行kubectl describe clusterrole <haproxy-ingress-clusterrole>，确认包含secrets资源的get、list权限，否则Controller无法读取证书Secret。
• 查看Controller日志：执行kubectl logs -n <haproxy-ingress-namespace> <haproxy-controller-pod-name>，搜索ssl、cert、wopi关键词，排查是否有证书加载失败的错误（比如权限不足、证书格式错误）。

4. 确认NodePort映射正确性 #

• 检查NodePort对应的目标端口：执行kubectl get svc -n <haproxy-ingress-namespace>，查看HAProxy服务的ports配置，确认31569端口对应的targetPort是Controller的HTTPS端口（默认443）。如果误映射到HTTP端口（默认80），用HTTPS访问时会触发HAProxy的默认证书。

5. 检查证书格式与完整性 #

• 验证证书链：自定义证书需要包含完整的证书链（域名证书+中间CA+根CA），执行openssl x509 -in wopi.public.fr.crt -text -noout查看证书链是否完整，缺失链会导致HAProxy无法加载证书， fallback到默认证书。
• 确认密钥与证书匹配：
  执行openssl x509 -noout -modulus -in wopi.public.fr.crt | openssl md5
  再执行openssl rsa -noout -modulus -in wopi.public.fr.key | openssl md5
  两个结果必须完全一致，否则密钥与证书不匹配，HAProxy会使用默认证书。

6. 手动重载HAProxy配置 #

• 若配置更新后Controller未自动重载，手动删除Controller Pod触发重启：kubectl delete pod -n <haproxy-ingress-namespace> <haproxy-controller-pod-name>，等待新Pod启动后再次用curl https://wopi.public.fr:31569 -vk测试证书。

内容的提问来源于stack exchange，提问作者Hazard4U