HAProxy域名重定向时SSL证书使用错误问题求助

核心问题分析 #

你碰到的问题本质是HAProxy在SSL握手阶段没正确识别用户访问的源域名（domainA的子域名），提前用上了目标域名（domainB）的证书。通常是两个原因导致的：

• crt-list文件的证书绑定规则配置有误，无法通过SNI（服务器名称指示）匹配到源域名对应的证书；
• 重定向规则的执行时机不对，HAProxy还没完成正确的证书匹配就触发了重定向逻辑。

具体解决方案 #

1. 修正crt-list文件格式 #

先检查/etc/haproxy/ssl_certificates文件，每个证书条目必须明确绑定对应域名，格式如下：

/etc/haproxy/certs/wildcard-domainA.pem *.domainA.com
/etc/haproxy/certs/wildcard-domainB.pem *.domainB.com

• 每行第一个字段是通配符证书的完整路径（证书文件要包含私钥+服务器证书+中间证书链，确保HAProxy能直接使用）；
• 第二个字段是该证书覆盖的域名，用通配符*.domainA.com可以匹配domainA的所有子域名。

2. 调整Frontend配置，先匹配源域名再重定向 #

修改你的frontend配置，确保先通过acl匹配用户访问的源域名，再执行重定向逻辑，同时保留正确的SSL绑定参数：

frontend https
    bind 0.0.0.0:443 ssl crt-list /etc/haproxy/ssl_certificates no-sslv3 no-tls-tickets
    
    # 匹配domainA的所有子域名（忽略大小写）
    acl is_domainA_subdomain hdr(host) -i *.domainA.com
    # 执行301永久重定向：把domainA子域名替换为domainB对应子域名，保留请求路径
    redirect scheme https code 301 location https://%[hdr(host),regsub(domainA.com,domainB.com)]%[capture.req.uri] if is_domainA_subdomain

    # 处理domainB子域名的请求（按需添加）
    acl is_domainB_subdomain hdr(host) -i *.domainB.com
    use_backend domainB_backend if is_domainB_subdomain

关键配置说明 #

• hdr(host) -i *.domainA.com：通过HTTP Host头（对应客户端SNI字段）精准匹配所有domainA的子域名，-i避免大小写问题；
• 重定向规则中的正则替换：%[hdr(host),regsub(domainA.com,domainB.com)]会自动把sub.domainA.com转换成sub.domainB.com，完美保留子域名部分；
• 证书匹配逻辑：HAProxy会先在SSL握手阶段读取客户端发送的SNI，从crt-list中找到对应源域名的证书完成握手，之后才会执行acl和重定向规则，这样就能保证用户看到的是源域名（domainA）的合法证书。

验证配置 #

修改完成后，先检查配置语法是否正确：

haproxy -c -f /etc/haproxy/haproxy.cfg

如果没有报错，重启HAProxy服务生效：

systemctl restart haproxy

之后可以用浏览器或curl测试访问domainA的子域名，确认证书显示为domainA的通配符证书，同时成功重定向到对应的domainB子域名。

内容的提问来源于stack exchange，提问作者Aurelien Maigret