HAProxy配置双服务器：终止SSL节点无法HTTPS重定向，报502错误

嗨，刚看到你的HAProxy配置问题，正好我对终止模式（SSL终止）的配置摸得比较透，帮你拆解下问题点和解决方案：

一、先理清终止模式的核心逻辑 #

首先得明确：终止模式下，HAProxy是直接扛下SSL加密/解密工作的——客户端发HTTPS请求给HAProxy，HAProxy解密后用HTTP转发给后端服务器；同时要处理用户访问HTTP时自动跳转到HTTPS，这步配置错了很容易出问题。

二、逐个解决你的疑问和问题 #

1. HTTP→HTTPS重定向的正确姿势 #

你之前尝试在后端加重定向注释没用，是因为重定向应该放在HTTP前端（负责监听80端口的那个frontend），而不是后端或者HTTPS前端。举个简单的配置示例：

frontend http-front
    bind *:80
    mode http
    # 把所有HTTP请求强制301重定向到HTTPS
    redirect scheme https code 301 if !{ ssl_fc }

这样用户输http://xxx会直接跳转到https://xxx，后端只需要专心处理HTTP请求就行，不用管重定向的事。

2. HTTPS前端里的reqdel/reqadd要不要留？ #

必须留！这些指令是帮你调整请求头的——比如删除客户端可能篡改的X-Forwarded-*头，再添加HAProxy生成的真实客户端IP、请求协议等信息，后端服务通过这些头才能拿到真实的用户来源。比如：

frontend https-front
    bind *:443 ssl crt /path/to/你的证书文件.pem
    mode http
    # 清理旧的转发头，添加真实客户端IP
    reqdel X-Forwarded-For
    reqadd X-Forwarded-For:\ %[src]
    # 告诉后端这是HTTPS请求
    reqdel X-Forwarded-Proto
    reqadd X-Forwarded-Proto:\ https

3. HTTPS前端里的tcp-request要不要留？ #

没必要！tcp-request是TCP层的规则，而终止模式下你的HTTPS前端用的是mode http，属于HTTP层处理，TCP层的规则在这里发挥不了作用。如果要做IP白名单这类限制，改用HTTP层的acl+http-request deny就好。

4. 502错误的排查方向 #

502基本都是HAProxy连不上后端服务器，你可以从这几个方面查：

• 后端的IP和端口配置错了？检查backend里的server指令，确保后端服务确实在监听这个端口。
• HAProxy服务器能不能通后端？在HAProxy机器上用curl http://后端IP:端口试试，要是连不上，大概率是防火墙/安全组把端口封了。
• 模式不匹配？前端是mode http，后端也必须是mode http，不能混用TCP模式。
• 证书问题？终止模式下后端应该是HTTP服务，要是后端也开了HTTPS，那得给server加ssl参数，但一般终止模式下后端不用搞HTTPS。

三、给你个标准的终止模式配置参考 #

你可以对比自己的配置调整：

global
    log /dev/log local0
    log /dev/log local1 notice
    chroot /var/lib/haproxy
    stats socket /run/haproxy/admin.sock mode 660 level admin expose-fd listeners
    stats timeout 30s
    user haproxy
    group haproxy
    daemon

defaults
    log global
    mode http
    option httplog
    option dontlognull
    timeout connect 5000
    timeout client 50000
    timeout server 50000
    errorfile 400 /etc/haproxy/errors/400.http
    errorfile 403 /etc/haproxy/errors/403.http
    errorfile 408 /etc/haproxy/errors/408.http
    errorfile 500 /etc/haproxy/errors/500.http
    errorfile 502 /etc/haproxy/errors/502.http
    errorfile 503 /etc/haproxy/errors/503.http
    errorfile 504 /etc/haproxy/errors/504.http

# 处理HTTP重定向的前端
frontend http-front
    bind *:80
    mode http
    redirect scheme https code 301 if !{ ssl_fc }

# SSL终止的HTTPS前端
frontend https-front
    bind *:443 ssl crt /etc/haproxy/certs/你的域名证书.pem
    mode http
    reqdel X-Forwarded-For
    reqadd X-Forwarded-For:\ %[src]
    reqdel X-Forwarded-Proto
    reqadd X-Forwarded-Proto:\ https
    default_backend web-backend

# 后端服务器组
backend web-backend
    mode http
    balance roundrobin
    # 替换成你的后端服务器IP和端口，check是用来做健康检查的
    server backend1 192.168.1.10:80 check
    server backend2 192.168.1.11:80 check

四、调试小技巧 #

1. 先检查配置语法：执行haproxy -f /etc/haproxy/haproxy.cfg -c，有错误会直接提示。
2. 看日志找原因：HAProxy的日志默认在/var/log/haproxy.log，502错误会有详细信息（比如连接超时、拒绝连接），对着日志排查准没错。
3. 测试后端连通性：在HAProxy服务器上用curl访问后端，确认后端服务本身是正常的。

内容的提问来源于stack exchange，提问作者Stoinov