HAProxy与LXD容器：特定子域ACL路由优先级异常问题求助

我之前在配置HAProxy反向代理的时候也踩过一模一样的坑，给你几个针对性的排查和解决思路：

1. 检查ACL的匹配顺序（最常见原因） #

HAProxy的规则是从上到下按顺序匹配的，只要匹配到第一条符合的规则就会执行后续的backend逻辑，不会继续往下匹配。如果你的根域名ACL写在了子域名ACL的前面，那哪怕请求是子域名，也会先触发根域名的规则。

举个错误和正确的配置对比：

错误顺序（根域名ACL在前，导致子域名请求被误匹配）：

acl domain_root hdr(host) -i example.com
acl domain_sub hdr(host) -i subdomain.example.com

use_backend root_container_backend if domain_root
use_backend sub_container_backend if domain_sub

正确顺序（把子域名ACL放在前面，精确匹配优先）：

acl domain_sub hdr(host) -i subdomain.example.com
acl domain_root hdr(host) -i example.com

use_backend sub_container_backend if domain_sub
use_backend root_container_backend if domain_root

2. 验证ACL匹配规则的准确性 #

• 确认是否添加了-i参数忽略大小写：如果用户访问的是Subdomain.Example.com这类大小写混合的域名，没加-i的话会导致子域名ACL匹配失败，进而落到根域名规则上。
• 检查根域名ACL是否用了通配符：比如如果根域名的规则写的是hdr(host) -i *.example.com，那所有子域名都会被这个通配符ACL匹配到，这时候必须把精确匹配的子域名ACL放在通配符规则的前面。

3. 确保配置生效且无语法错误 #

• 先执行配置校验命令，检查有没有语法问题：

  haproxy -c -f /etc/haproxy/haproxy.cfg
  

• 校验通过后重载HAProxy服务，让新配置生效：

  systemctl reload haproxy
  

4. 开启日志排查匹配细节 #

如果上面的步骤还没解决问题，可以开启HAProxy的HTTP日志，直观看到每个请求匹配的ACL和backend：
在HAProxy配置的global和defaults段添加日志配置：

global
    log /dev/log local0
    log /dev/log local1 notice

defaults
    log global
    option httplog
    option dontlognull

然后查看日志（以Debian/Ubuntu为例）：

tail -f /var/log/haproxy.log

日志里会明确显示每个请求的host头、匹配的ACL名称、转发到的backend，能帮你快速定位问题。

5. 确认LXD容器的网络配置 #

最后再检查下对应的LXD容器：

• 确认lxd-container-web1的IP是否正确，HAProxy的backend是否指向了这个IP和对应的端口（比如server web1 10.0.0.10:80 check）
• 容器内的服务是否正常监听端口，能正常响应请求

内容的提问来源于stack exchange，提问作者ryanfitton