Могу ли я использовать новую функцию «захвата» HAProxy для сохранения удаленного адреса в интерфейсе TCP и использовать его в качестве заголовка X-Forwarded-For в бэкэнде HTTP?

Использование HAProxy 1.6 и умный хак, Теперь у меня есть интерфейс HAProxy tcp mode, который определяет, поддерживает ли браузер SNI, и на основании этого направляет к сильно зашифрованному бэкэнду завершения SSL или более слабому. Это обеспечивает оценку A + в лабораторных исследованиях SSL, при этом позволяя всем браузерам, кроме IE6, использовать SSL.

Вот мой конфиг. В нем есть несколько шаблонных переменных, которые не требуют пояснений, но не относятся к областям, имеющим отношение к моему вопросу:

frontend https_incoming
 bind 0.0.0.0:443
 mode tcp
 option tcplog
 tcp-request inspect-delay 5s
 tcp-request content accept if { req.ssl_hello_type 1 }
 use_backend https_strong if { req.ssl_sni -m end .transloadit.com }
 default_backend https_weak

backend https_strong
 mode tcp
 option tcplog
 server https_strong 127.0.0.1:1665

frontend https_strong
 bind 127.0.0.1:1665 ssl crt ${DM_ROOT_DIR}/envs/ssl/haproxy-dh2048.pem no-sslv3 no-tls-tickets ciphers ${strongCiphers}
 mode http
 option httplog
 option httpclose
 option forwardfor if-none except 127.0.0.1
 http-response add-header Strict-Transport-Security max-age=31536000
 reqadd X-Forwarded-Proto:\ https
 reqadd FRONT_END_HTTPS:\ on
 use_backend http_incoming

backend https_weak
 mode tcp
 option tcplog
 server https_weak 127.0.0.1:1667

frontend https_weak
 bind 127.0.0.1:1667 ssl crt ${DM_ROOT_DIR}/envs/ssl/haproxy.pem no-sslv3 ciphers ${weakCiphers}
 mode http
 option httplog
 option httpclose
 option forwardfor if-none except 127.0.0.1
 http-response add-header Strict-Transport-Security max-age=31536000
 reqadd X-Forwarded-Proto:\ https
 reqadd FRONT_END_HTTPS:\ on
 use_backend http_incoming

Проблема: https_incoming веб-интерфейс знает IP-адрес клиента, но поскольку он находится в mode tcp, он не может сохранить эту информацию в mode http X-Forwarded-For заголовок. option forwardfor не действует в режиме TCP.

Из еще вопрос по serverfault Я уже обнаружил, что могу использовать:

• LVS
• ПРОКСИ протокол

Таким образом X-Forwarded-For заголовок даже больше не нужен, насколько я понимаю, в случае LVS: пакеты подделываются, поэтому источником становится IP-адрес клиента, а в случае PROXY: пакеты инкапсулируются для переноса IP-адреса клиента.

Кажется, что оба они могут работать. LVS, однако, кажется нам хирургическим вмешательством на сердце, которое может иметь побочные эффекты, а PROXY имеет обратную сторону: прокси-серверы / приложения вверх / вниз по течению могут быть еще не полностью совместимы.

Я действительно надеялся на что-то более легкое, и именно тогда я нашел новый Функция "захвата" в HAProxy 1.6 как упоминается:

вы можете объявить слоты захвата, хранить в них данные и использовать их в любое время в течение сеанса.

далее будет показан следующий пример:

defaults 
 mode http

frontend f_myapp
 bind :9001
 declare capture request len 32 # id=0 to store Host header
 declare capture request len 64 # id=1 to store User-Agent header
 http-request capture req.hdr(Host) id 0
 http-request capture req.hdr(User-Agent) id 1
 default_backend b_myapp

backend b_myapp
 http-response set-header Your-Host %[capture.req.hdr(0)]
 http-response set-header Your-User-Agent %[capture.req.hdr(1)]
 server s1 10.0.0.3:4444 check

Мне кажется, информация хранится во внешнем интерфейсе, а затем используется в серверной части, поэтому, возможно, я могу взять клиентский IP-адрес в режиме TCP, сохранить его и использовать его позже, может быть, так:

http-response set-header X-Forwarded-For %[capture.req.hdr(0)]

Я посмотрел на захватить документы и там кажется, что захват больше ориентирован на заголовки режима http, но потом я также видел разговор по списку рассылки успешно демонстрируя использование tcp-request capture.

Я пробовал несколько вещей, среди которых:

tcp-request capture req.hdr(RemoteAddr) id 0
# or
tcp-request content capture req.hdr(RemoteHost) id 0

Но, как видите, я понятия не имею, каким должен быть синтаксис и под каким ключом эта информация будет доступна, и я не могу найти ее в (я думаю) соответствующая документация.

Вопросы: Можно ли захватить IP-адрес клиента в режиме TCP, а затем записать эту информацию в X-Forwarded-For заголовок в режиме HTTP? Если да, то каков будет синтаксис для этого?