HAProxy在高可用环境中针对不同域名的证书管理-Apache-PHP中文网

haproxy不管理tls证书生命周期，仅按sni分发外部准备的pem格式证书（证书+中间ca+私钥合并），需统一存放、严格权限，并通过crt-list或bind crt配置多域名https终止，支持热更新与自动化同步。

haproxy在高可用环境中针对不同域名的证书管理

HAProxy 本身不直接管理 TLS 证书（如自动申请、续期或存储私钥），但它能高效地在高可用环境中根据域名（SNI）分发不同证书，实现多域名 HTTPS 终止。关键在于：证书由外部管理，HAProxy 负责按需加载和匹配。

HAProxy 要求每个域名的证书必须是 PEM 格式，且将公钥证书与对应私钥合并为单个文件（顺序为：证书 → 中间 CA → 私钥）。例如：

example.com.pem 内容应为：
-----BEGIN CERTIFICATE-----
（example.com 的证书）
-----END CERTIFICATE-----
-----BEGIN CERTIFICATE-----
（Let's Encrypt 中间证书）
-----END CERTIFICATE-----
-----BEGIN PRIVATE KEY-----
（example.com 的私钥）
-----END PRIVATE KEY-----
多个域名需各自独立的 PEM 文件，如 api.example.com.pem、admin.example.org.pem
所有 PEM 文件建议统一存放在 /etc/haproxy/certs/ 下，并设置严格权限：
chmod 600 /etc/haproxy/certs/*.pem；
chown haproxy:haproxy /etc/haproxy/certs/*.pem

在 frontend 中启用 TLS 终止，并通过 bind 指令绑定多个证书。HAProxy 会根据客户端 SNI 扩展自动选择匹配域名的证书：

基础写法（推荐）：使用 crt-list 文件集中管理，便于扩展：
bind *:443 ssl crt-list /etc/haproxy/certs/certlist.txt
certlist.txt 示例（每行一个域名+对应 PEM 路径）：
/etc/haproxy/certs/example.com.pem example.com
/etc/haproxy/certs/api.example.com.pem api.example.com
/etc/haproxy/certs/admin.example.org.pem admin.example.org
若只配少量域名，也可直接在 bind 行中列出：
bind *:443 ssl crt /etc/haproxy/certs/example.com.pem crt /etc/haproxy/certs/api.example.com.pem

在双机或多节点 HAProxy 集群中，证书变更需确保各节点一致，避免因证书不匹配导致 TLS 握手失败：

不重启 reload 即可生效：修改证书文件后，执行 haproxy -f /etc/haproxy/haproxy.cfg -p /var/run/haproxy.pid -sf $(cat /var/run/haproxy.pid)，HAProxy 会平滑加载新证书
证书同步建议用自动化工具（如 Ansible、rsync + inotify）统一推送至所有节点的相同路径
避免 NFS 共享证书目录——HAProxy 不支持并发读取同一 PEM 文件，可能引发竞争或加载失败
可配合 Let’s Encrypt 的 --deploy-hook 自动触发 reload 和同步，例如：
certbot renew --deploy-hook "/usr/local/bin/haproxy-reload.sh"

部署后务必验证 SNI 行为是否符合预期：

用 OpenSSL 检查指定域名返回的证书：
openssl s_client -connect example.com:443 -servername example.com -showcerts 2>/dev/null | openssl x509 -noout -subject
确认 HAProxy 日志中无 SSL handshake failure 或 PEM_read_bio_X509_AUX failed 类错误
检查 haproxy -c -f /etc/haproxy/haproxy.cfg 输出，确保证书路径可读、格式合法
浏览器访问时，地址栏锁图标显示的证书主体应与请求域名完全一致（不含通配符误匹配）