Чи можливо перенаправити https-з'єднання до перевірки SSL за допомогою haproxy?


11

У мене два домени, myexample.comі my-example.com. Я хочу, щоб весь трафік для будь-якого домену йшов на https://www.my-example.com , на який у мене є сертифікат SSL. У мене немає сертифіката SSL для домену myexample.com.

У мене http://myexample.com , http://www.myexample.com , http://my-example.com та http://www.my-example.com всі перенаправлення на https: // www. my-example.com не має проблем, проте коли я встановлюю переспрямування на https://myexample.com або https://www.myexample.com , він перевіряє їх SSL-сертифікат перед перенаправленням, тому я завжди отримую сертифікат помилка.

Чи є спосіб зробити переадресацію без перевірки SSL на не-SSL домен, з якого я переадресовую?

Відповідна частина мого конфігураційного файлу:

frontend www-https
   bind xxx.xxx.xxx.xxx:443 ssl crt /etc/ssl/private/www.my-example.com.pem
   reqadd X-Forwarded-Proto:\ https
   redirect prefix https://www.my-example.com code 301 if { hdr(host) -i myexample.com }
   redirect prefix https://www.my-example.com code 301 if { hdr(host) -i www.myexample.com }
   default_backend www-backend

16
Уявіть на мить, як погано було б, щоб MITMed https://www.paypal.com/на мить перенаправлявся, https://www.not-paypal.com/і ви отримаєте свою відповідь. Сертифікати SSL безкоштовно сьогодні - отримайте інший для іншого домену.
ceejayoz

Як і @ceejayoz, згаданий, просто отримайте безкоштовний сертифікат для іншого домену.
Моше Кац

Я це зробив зараз, мені просто цікаво, чи потрібно це чи є спосіб його налаштувати так, як я це робив для non-ssl, перш ніж спробувати зрозуміти, як мати більше одного сертифіката в конфігурації haproxy (я ' м далеко від експерта!).
Бен Холнесс

@BenHolness Ви можете отримати багатодоменний сертифікат (Давайте шифрувати повністю підтримує це), якщо вам це подобається.
ceejayoz

Відповіді:


20

Перенаправлення здійснюється на рівні HTTP, тобто після встановлення з’єднання SSL. Оскільки встановлення з'єднання SSL включає перевірку сертифіката, неможливо обійти перевірку сертифікату на переадресацію.

Використовуючи наш веб-сайт, ви визнаєте, що прочитали та зрозуміли наші Політику щодо файлів cookie та Політику конфіденційності.
Licensed under cc by-sa 3.0 with attribution required.