HAProxy通过IPSec VPN访问后端报503连接拒绝问题排查

看起来你遇到的问题是HAProxy没法通过IPSec VPN连接后端，但直接用curl访问却完全正常——这种场景我之前也碰到过，咱们一步步拆解排查：

首先先看你贴的HAProxy日志里的状态码SC--，这个状态是关键线索：

• S: HAProxy已经完整收到了客户端的请求
• C: HAProxy尝试和后端服务器建立连接，但连接失败了
• --: 既没从后端收到任何响应，也没给客户端发响应（除了最后返回的503）

结合你说的「公网后端HAProxy正常、直接curl VPN后端正常」的情况，问题大概率出在HAProxy进程没走正确的VPN路由，或者VPN策略没允许HAProxy发起的连接。

下面是几个具体的排查和修复方向：

1. 验证HAProxy进程的路由访问权限 #

直接curl用的是系统默认的路由规则，但HAProxy如果是用普通用户（比如haproxy用户）运行的，可能没法访问VPN的路由表。你可以做个简单测试：

• 切换到HAProxy运行的用户，执行su - haproxy -c "curl 196.XXX.YYY.136:80"，看看能不能正常访问
• 用ip route get 196.XXX.YYY.136查看系统对这个IP的路由，确认是走VPN接口（比如tun0或者ipsec0），再检查HAProxy进程有没有权限访问这个接口

2. 调大连接超时时间 #

你的timeout connect设置成了5秒，而VPN连接建立有时候会比普通公网连接慢，可能HAProxy还没等VPN连接建立就放弃了。可以先把这个值调大试试：

timeout connect 15s

3. 检查IPSec VPN的策略配置 #

有些IPSec配置会限制允许访问后端的源IP或者进程，你要确认：

• HAProxy所在服务器的源IP（比如10.132.2.2或者127.0.0.1）是否被VPN规则允许访问196.XXX.YYY.136
• VPN的policy或acl规则有没有拒绝HAProxy发起的连接请求

4. 开启详细日志定位问题 #

你现在注释掉了option httplog，可以把它打开，同时把日志级别调到debug，这样能拿到更详细的连接建立过程，方便定位具体哪里出问题：

defaults
    option httplog
    log global debug

5. 强制HAProxy用指定源IP发起连接 #

如果HAProxy所在服务器有多个网卡，或者VPN要求必须用特定源IP才能访问后端，可以在后端服务器配置里加source参数，强制HAProxy用VPN接口的IP发起连接：

backend testbed
    balance roundrobin
    server broker 196.XXX.YYY.136:80 source <你的VPN接口IP>

额外的排查小技巧 #

• 检查服务器的防火墙规则，确认允许HAProxy发起对196.XXX.YYY.136:80的出站连接
• 用ipsec status或者ip xfrm state看看VPN隧道是不是处于活跃状态

我之前碰到过类似的问题，是因为VPN的路由规则只对root用户生效，而HAProxy用普通用户运行，导致没法访问VPN后端，要么切换到root运行（或者给普通用户加路由权限）就解决了。

内容的提问来源于stack exchange，提问作者Peter