如何使用HAproxy剥离Proxy协议并转发请求至本地Web服务器？

我太懂这种感受了——HAProxy的官方文档对新手来说简直像天书，明明知道它支持Proxy协议，就是找不到贴合自己场景的配置示例。别慌，我给你整理了两种完全匹配你需求的配置方案，一步步来：

这个方案适合需要在本地HAProxy层处理SSL，并把Proxy协议里的真实客户端IP传递给Apache的场景。配置如下：

frontend proxy_protocol_https
    # 监听5443端口，开启Proxy协议接收支持
    bind :5443 accept-proxy
    # 切换到HTTP模式，方便修改请求头
    mode http
    # 指定你的SSL证书文件（证书和私钥可以合并在同一个PEM文件里）
    crt /path/to/your/domain-cert.pem
    # 从Proxy协议中解析真实客户端IP，添加到X-Forwarded-For请求头
    # 开启accept-proxy后，%[src]会自动指向Proxy协议里的原始客户端IP
    http-request set-header X-Forwarded-For %[src]
    # 可选：添加原请求协议标识，方便后端识别
    http-request set-header X-Forwarded-Proto https
    # 转发到本地Apache的后端配置
    default_backend local_apache_https

backend local_apache_https
    mode http
    # 转发到本地Apache的443端口，ssl参数表示用HTTPS连接
    # 如果Apache用的是自签证书，加上verify none跳过证书验证
    server apache_local localhost:443 ssl verify none

关键说明： #

• accept-proxy：告诉HAProxy这个端口只接收带有Proxy协议的连接，会自动解析协议中的客户端IP信息
• 证书配置：必须使用和域名匹配的有效证书，否则前端用户访问时会遇到SSL报错
• 若要让Apache真正信任这个X-Forwarded-For头，还需要在Apache的配置里启用RemoteIP模块：

  RemoteIPHeader X-Forwarded-For
  RemoteIPTrustedProxy 127.0.0.1
  

  这样Apache会把X-Forwarded-For中的IP当作真实客户端IP，而不是本地HAProxy的127.0.0.1。

如果不需要修改HTTP头，只是想把第三方的Proxy协议流量透传给Apache处理SSL，就用这个轻量化的TCP转发方案：

frontend proxy_protocol_tcp
    bind :5443 accept-proxy
    # 工作在TCP模式，只做流量转发，不解析HTTP内容
    mode tcp
    default_backend local_apache_tcp

backend local_apache_tcp
    mode tcp
    # 直接把解析完Proxy协议的TCP流量转发到Apache的443端口
    server apache_local localhost:443

关键说明： #

• 这个方案下，HAProxy只负责解析Proxy协议，不对SSL流量做任何处理，所有SSL工作都由Apache完成
• 缺点是Apache无法获取真实客户端IP（因为Proxy协议的信息只在HAProxy层面被解析），所以如果需要传递客户端IP，还是优先用方案1

额外注意： #

确保你的HAProxy版本在1.5及以上（Proxy协议是1.5版本引入的功能），如果是更旧的版本，需要先升级。

内容的提问来源于stack exchange，提问作者Yeti