Мой экземпляр haproxy обслуживает 2 домена (в основном, чтобы избежать XSS на основном сайте).
Правила выглядят примерно так
bind :443 ssl crt /etc/ssl/haproxy.pem
acl is_static hdr_end(Host) -i example.com
acl is_api hdr_end(Host) -i api.example.com
acl is_files hdr_end(Host) -i example.io
redirect scheme https if !{ ssl_fc } is_static is_api
Теперь SSL использует /etc/ssl/haproxy.pem в качестве сертификата по умолчанию, который является сертификатом для example.com и нет example.io.
Как я могу указать сертификаты для нескольких доменных имен?
Вы можете объединить все свои сертификаты в файлы, например haproxy1.pem и haproxy2.pem или вы можете указать каталог, содержащий все ваши файлы pem.
cat cert1.pem key1.pem > haproxy1.pem
cat cert2.pem key2.pem > haproxy2.pem
В соответствии с документы haproxy
Затем в конфигурации используйте что-то вроде этого:
defaults
log 127.0.0.1 local0
option tcplog
frontend ft_test
mode http
bind 0.0.0.0:443 ssl crt /certs/haproxy1.pem crt /certs/haproxy2.pem
use_backend bk_cert1 if { ssl_fc_sni my.example.com } # content switching based on SNI
use_backend bk_cert2 if { ssl_fc_sni my.example.org } # content switching based on SNI
backend bk_cert1
mode http
server srv1 <ip-address2>:80
backend bk_cert2
mode http
server srv2 <ip-address3>:80
Узнать больше о SNI
Имейте в виду, что поддержка SSL находится на стадии разработки для haproxy, а также, очевидно, что она значительно снизила производительность.
В этой ветке обсуждаются и другие решения: https://stackoverflow.com/questions/10684484/haproxy-with-multiple-https-sites
Надеюсь это поможет.
Больше не нужно конкатенировать или указывать список сертификатов, просто укажите папку:
frontend public
bind *:443 ssl crt /etc/haproxy/ssl/
Примечание: убедитесь, что папка не пуста и в ней присутствуют допустимые файлы PEM, иначе HAProxy не запустится.
возможно, вы тоже можете это проверить:
/etc/ssl/private/crt-list.txt:
/etc/ssl/private/mydomain.pem
/etc/ssl/private/myotherdomain.pem
haproxy.cfg:
frontend https-in:
bind *:443 ssl crt-list /etc/ssl/private/crt-list.txt