如何将请求Host头作为HAProxy的动态后端目标？

嘿，你的需求我完全get到了——要拦截TCP流量，然后根据请求的Host头（准确说在TCP+SSL场景下是SNI）动态转发到对应后端服务器，对吧？你之前尝试的server all { req.hdr(host) }:443确实行不通，因为HAProxy在启动的时候会验证所有后端服务器的可达性，而这个动态变量在启动阶段根本没有实际值，自然会报错。

不过别担心，咱们可以用HAProxy的动态目标修改功能来实现这个需求，具体步骤如下：

核心思路 #

因为你是在TCP模式下处理SSL流量，首先得从SSL握手里提取SNI（Server Name Indication）——这就是客户端要访问的域名，和HTTP的Host头作用一致。然后用HAProxy的tcp-request content set-dst指令把请求的目标地址替换成SNI对应的后端服务器地址，这样就能实现动态转发了。

修改后的配置示例 #

我基于你现有的配置调整一下，你可以参考：

# This file is managed by Puppet
global
  chroot  /var/lib/haproxy
  daemon
  group  haproxy
  log  172.22.91.180 local0
  maxconn  4000
  pidfile  /var/run/haproxy.pid
  user  haproxy

defaults
  log  global
  maxconn  8000
  option  redispatch
  retries  3
  timeout  http-request 10s
  timeout  queue 1m
  timeout  connect 10s
  timeout  client 1m
  timeout  server 1m
  timeout  check 10s

frontend waf-server
  bind 172.22.91.180:443
  mode tcp
  option tcplog
  tcp-request inspect-delay 5s
  # 只接受SSL握手请求
  tcp-request content accept if { req_ssl_hello_type 1 }
  
  # 提取SNI，将请求目标修改为SNI对应的地址+443端口
  # 这里要确保你的内部DNS能解析这些SNI域名到对应的后端服务器
  tcp-request content set-dst req.ssl_sni:443
  
  # 直接转发到修改后的目标，不需要指定固定后端
  default_backend dynamic-backend

backend dynamic-backend
  mode tcp
  # 这里用default-server来设置通用的后端参数，不需要指定具体服务器
  default-server ssl verify none check

关键说明 #

• 提取SNI：在TCP模式下，HTTP的Host头是加密在SSL流量里的，所以我们用req.ssl_sni来获取客户端指定的域名，这比req.hdr(host)更靠谱，因为后者只有在HTTP模式下才能用。
• 动态修改目标：tcp-request content set-dst req.ssl_sni:443这条指令会把请求的目标IP和端口替换成SNI域名解析后的IP+443端口，完全实现动态转发。
• 后端配置：后端只需要用default-server设置通用的连接参数（比如SSL验证、健康检查），不需要指定具体的服务器地址，因为目标已经被动态修改了。

注意事项 #

• 确保你的内部DNS服务器能正确解析所有可能的SNI域名到对应的后端服务器，否则HAProxy会无法解析目标地址导致请求失败。
• 如果你的场景里有部分域名不需要动态转发，可以在frontend里添加条件判断，比如：

  # 对特定域名走固定后端，其他走动态转发
  use_backend fixed-backend if { req.ssl_sni -i special.example.com }
  tcp-request content set-dst req.ssl_sni:443 if !{ req.ssl_sni -i special.example.com }
  

• 如果你不需要健康检查，可以把check从default-server里去掉，避免HAProxy因为无法提前解析动态目标而报错。

这样配置之后，HAProxy就能根据每个请求的SNI（也就是你说的Host头对应的域名）动态转发到对应的后端服务器了，完美匹配你的需求~

备注：内容来源于stack exchange，提问作者Jules Clements