如何配置HAProxy SMTP路由注入SMTP认证用户名密码

可以通过调整HAProxy配置实现SMTP认证注入，无需修改Java侧业务代码，你当前使用的纯TCP四层转发模式不支持该能力，需要开启SMTP协议七层解析拦截协议交互流程。

现有配置是四层TCP透传模式，HAProxy仅做无差别的字节流转发，不会解析SMTP握手、指令交互的具体内容，无法在客户端和后端SMTP服务的交互流程中插入认证信息，会直接把后端返回的530 5.7.3 Client was not authenticated错误透传给Java客户端。

• 先确认HAProxy版本≥2.2，低于这个版本对SMTP七层协议解析的支持不完善，无法匹配SMTP指令、返回码字段，需要先升级版本。
• 生成SMTP PLAIN认证需要的base64串，在服务器执行以下命令，替换成你实际的SMTP用户名、密码：

  echo -ne '\0SMTP认证用户名\0SMTP认证密码' | base64
  

  执行后输出的base64编码字符串记下来，后续配置要用，注意不要带多余换行符，否则会认证失败。
• 把原有HAProxy配置替换为以下内容，把占位符替换成上一步生成的base64串：

  frontend SMTP
      bind *:25
      mode tcp
      # 开启SMTP协议检测，预留5秒缓冲解析协议内容
      tcp-request inspect-delay 5s
      tcp-request content accept if SMTP
      default_backend smtp
  
  backend smtp
      balance roundrobin
      mode tcp
      server vm3 smtp.domain.global:25 check
      # EHLO握手完成后主动发起PLAIN认证
      tcp-request content send-string "AUTH PLAIN 替换为你生成的base64认证串\r\n" if { req.smtp.command eq "EHLO" } { rep.smtp.status eq 250 }
  

• 执行haproxy -c -f 你的配置文件路径校验语法无误后，重载HAProxy服务即可。

• 如果后端SMTP服务不支持AUTH PLAIN，仅支持AUTH LOGIN模式，需要把认证逻辑拆成三步：先发送AUTH LOGIN\r\n，等后端返回334提示输入用户名的响应后发送base64编码的用户名，再等334提示输入密码的响应后发送base64编码的密码，调整acl匹配对应状态码即可。
• 如果后端SMTP强制要求STARTTLS加密，需要额外添加STARTTLS卸载或透传逻辑，否则认证流程会被加密阻断无法匹配规则。
• 配置生效后如果仍报错，开启HAProxy的SMTP协议级debug日志，查看实际交互的指令和返回码调整匹配规则即可。

内容的提问来源于stack exchange，提问作者Mario Cioffi