HAProxy SSL重定向定时失效问题求助（6节点Web架构）

我碰到过好几次类似的HAProxy SSL重定向失效的情况，结合你这套6节点（2前端+2Web+2DB）的Drupal多站点架构，大概率是这几个常见问题导致的，咱们一步步来排查：

1. SSL会话缓存溢出或配置不合理 #

HAProxy默认的SSL会话缓存容量有限，在多站点高并发场景下，缓存很快就会被占满，新请求没法正确匹配会话，直接导致重定向逻辑异常。

• 排查步骤：查看HAProxy日志（默认路径/var/log/haproxy.log），搜索ssl_cache_full或no session ticket这类关键词，要是能找到，基本就是缓存的问题。
• 修复方案：
  • 在HAProxy的frontend或listen配置块里调整缓存参数，增加容量并优化TTL：

    ssl-default-bind-options ssl-min-ver TLSv1.2 no-tls-tickets
    ssl-default-bind-ciphers ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384
    ssl-cache-size 200000
    ssl-cache-ttl 3600
    

  • 建议禁用会话票证（no-tls-tickets），避免因多节点间会话票证不同步引发的失效问题。

2. 后端Apache长连接复用引发的逻辑混乱 #

你的Drupal多站点都有独立Apache配置，要是Apache的KeepAliveTimeout设置过长，HAProxy会复用旧的后端连接，而这些旧连接可能没有加载最新的SSL重定向规则（比如证书更新后连接没重置），时间一长就会出问题。

• 排查步骤：查看Apache的access.log，看失效时段的请求是否都复用了同一个连接ID；再看error.log有没有相关的配置加载告警。
• 修复方案：
  • 在HAProxy的backend块里限制后端连接的存活时间，强制定期重置连接：

    timeout server 30s
    timeout connect 5s
    

  • 把Apache的KeepAliveTimeout调整到15秒以内，避免长连接长时间占用资源。

3. ACL重定向规则存在竞态条件 #

如果你的HTTP转HTTPS重定向是用HAProxy的ACL实现的，复杂的多条件ACL叠加可能在高并发下出现竞态，导致部分请求没被正确匹配到重定向规则。

• 排查步骤：临时给HAProxy开启debug日志（在frontend块加log global debug），看失效时段的请求是否命中了!{ ssl_fc }这个判断条件。
• 修复方案：
  • 简化重定向规则，用最直接的写法：

    redirect scheme https code 301 if !{ ssl_fc }
    

  • 把重定向规则放在frontend块的最顶部，确保优先处理HTTP到HTTPS的跳转，避免被其他规则拦截。

4. Drupal多站点与HAProxy的重定向规则冲突 #

Drupal多站点可能在.htaccess或者站点配置里也设置了HTTPS重定向，和HAProxy的规则形成冲突。当Drupal的缓存过期或会话更新时，就会导致重定向逻辑紊乱。

• 排查步骤：检查每个Drupal站点的.htaccess文件，看是否有RewriteRule ^(.*)$ https://%{HTTP_HOST}%{REQUEST_URI} [L,R=301]这类规则；再看settings.php里的$base_url是否正确设置为HTTPS地址。
• 修复方案：
  • 统一重定向逻辑：要么在HAProxy层处理所有HTTP到HTTPS的跳转（性能更好），要么在Drupal层处理，不要两层都做。
  • 确保每个Drupal站点的$base_url都设置为https://your-site-domain.com，避免生成HTTP链接引发的异常。

5. HAProxy进程内存泄漏或资源耗尽 #

旧版本的HAProxy可能存在内存泄漏问题，长时间运行后进程占用内存过高，导致SSL处理模块无法正常工作，重启后暂时恢复，但过几小时又会复发。

• 排查步骤：用top或htop监控HAProxy进程的内存占用，看是否随时间持续增长；查看系统日志（/var/log/syslog或/var/log/messages）是否有HAProxy的内存告警信息。
• 修复方案：
  • 升级HAProxy到最新稳定版（比如2.8.x及以上），新版本修复了不少内存泄漏的bug。
  • 合理配置maxconn参数，避免过多连接导致内存耗尽：

    global
        maxconn 10000
        tune.ssl.default-dh-param 2048
    

内容的提问来源于stack exchange，提问作者Kinnara