HAProxy tcp模式SNI路由下http-request deny规则无效的路径管控

你写的规则完全不生效，核心原因是当前配置的全链路（frontend、两个backend）全部运行在mode tcp四层模式下：

• http-request指令、path类ACL规则，仅在七层HTTP处理模式下可被识别和执行
• 纯四层模式下HAProxy只做TCP流量透传，不会解析TLS加密载荷内部的HTTP请求结构，自然读不到URL路径信息，所有路径相关的规则从逻辑上就没有触发的可能。

结合你现有的SNI前置分流、TLS会话粘滞的配置逻辑，有两种完全适配现有架构的调整方式，不需要推翻原有配置：

方案1：在HAProxy端终止Test1域的TLS流量，实现路径管控 #

这种方式是最灵活、不需要改动后端架构的实现路径。调整逻辑是保留原有四层前置校验能力，仅把需要做路径管控的Test1域流量切到七层模式处理：

1. 在frontend的443监听上增加TLS证书加载能力，支持SNI分流时的TLS解密
2. 保留原有所有前置校验规则（拒绝SSLv3、基于SNI分流到对应backend）
3. Test2域继续走原有的四层透传逻辑，不做改动
4. Test1域切到七层backend，实现路径的放行/拒绝逻辑

对应的调整后配置示例（完全兼容你原有配置结构）：

frontend http_in
  mode tcp
  # 原有监听基础上增加证书目录参数，支持TLS解密
  bind *:443 ssl crt /etc/haproxy/certs/
  bind *:80

  # 你原有前置校验逻辑100%保留
  tcp-request inspect-delay 5s
  acl sslv3 req.ssl_ver 3
  tcp-request content reject if sslv3
  tcp-request content accept if {req_ssl_hello_type 1}
  
  acl test1 req_ssl_sni -i test1.domain.abc
  acl test2 req_ssl_sni -i test2.domain.abc

  # Test2维持原有四层backend逻辑，不动（包括你原有的会话粘滞配置）
  use_backend Test2_ssl if test2
  # Test1切到七层backend做路径管控
  use_backend Test1_http if test1

# 新增七层处理段替换原有Test1的四层backend
backend Test1_http
  mode http
  # 路径管控规则：仅放行/forwarding开头的路径，其余全部拒绝
  acl allowed_path path_beg -i /forwarding
  http-request deny if !allowed_path

  # 保留原有健康检查逻辑，转后端时兼容后端的HTTPS监听
  option ssl-hello-chk
  server Test1 xxx.xxx.xxx.xxx:443 ssl verify none

注：

• Test1的七层处理段不需要保留你之前写的TLS payload解析、四层会话粘滞逻辑，因为TLS已经在HAProxy端解密，直接和后端建立新的HTTP/HTTPS连接即可，原有四层粘滞逻辑在这个场景下完全无效
• 如果后端服务是监听80端口的明文HTTP，直接把server后面的ssl verify none参数去掉即可，不需要改动后端现有配置。

方案2：满足硬合规要求的替代方案 #

如果因为安全规定，必须要求HAProxy全程只做四层透传、不能在HAProxy服务器上存放TLS私钥完成解密，那路径管控逻辑根本无法在HAProxy层实现——毕竟HAProxy读不到加密流量里的HTTP内容。这种场景下直接把路径限制规则配置在Test1对应的后端Nginx/应用服务上即可，配置逻辑更简单，灵活性也更高。

• 语法错误：原规则acl is_static path -i -m beg / forwarding path的写法完全不符合HAProxy的ACL语法，路径值不能带空格，正确的前缀匹配写法为path_beg /forwarding
• 逻辑反向：需求是“仅允许/forwarding路径、禁止其他”，规则应该是拒绝所有不匹配目标路径的流量，你之前的写法是把目标放行路径列成了需要拒绝的对象
• 模式不匹配：在mode tcp的配置段下写http-request规则、path类ACL，HAProxy加载时甚至会直接报指令识别错误，根本不会进入执行流程
• 附带拼写问题：原配置global段的demon是拼写错误，正确的后台运行参数是daemon，如果遇到配置加载失败可以先修正这个拼写。

内容的提问来源于stack exchange，提问作者wuestl