HA 代理和 Websocket

Question

我正在设置我的第一个 HAProxy 反向代理服务器。它将成为从不同服务器在 tomcat 上运行的 HTML5 应用程序的代理。我能够让它通过 HTTP 代理出去，将所有请求重定向到 HTTPS，并实现 HSTS。但是，这样做之后我意识到它也尝试加载 websocket 连接。问题是它加载的 websocket 连接是不安全的 (ws://) 和不安全的 (wss://)。当然，Chrome（可能还有多个浏览器）会抱怨通过安全连接加载不安全的脚本。这是我得到的错误：

Connecting via WebSocket using url ws://website.domain.com:9091/webclient/
Mixed Content: The page at 'https://website.domain.com/webclient/' was loaded over HTTPS, but attempted to connect to the insecure WebSocket endpoint 'ws://website.domain.com:9091/webclient/'. This request has been blocked; this endpoint must be available over WSS.
Caught WebSocket error: SecurityError: Failed to construct 'WebSocket': An insecure WebSocket connection may not be initiated from a page loaded over HTTPS.

所有这些都由 /webclient/script/ajaxclient.js:210 加载

由于这是第 3 方应用程序，我不确定我是否能够让他们更改他们的应用程序。因此，我想知道是否可以在 HAProxy 服务器上做些什么来强制建立安全的 websocket 连接。有什么想法吗？

这是我的 HAProxy conf 文件以供参考：

global
    log         127.0.0.1 local2

    chroot      /var/lib/haproxy
    pidfile     /var/run/haproxy.pid
    maxconn     1000
    user        haproxy
    group       haproxy
    daemon

    # turn on stats unix socket
    stats socket /var/lib/haproxy/stats

    # Default SSL cert locations
    ca-base /etc/haproxy/ssl_2015
    crt-base /etc/haproxy/ssl_2015

    # Default ssl ciphers
    ssl-default-bind-ciphers ECDHE-RSA-AES256-GCM-SHA384:ECDHE-RSA-AES128-GCM-SHA256:DHE-RSA-AES256-GCM-SHA384:DHE-RSA-AES128-GCM-SHA256:ECDHE-RSA-AES256-SHA384:ECDHE-RSA-AES128-SHA256:ECDHE-RSA-AES256-SHA:ECDHE-RSA-AES128-SHA:DHE-RSA-AES256-SHA256:DHE-RSA-AES128-SHA256:DHE-RSA-AES256-SHA:DHE-RSA-AES128-SHA:ECDHE-RSA-DES-CBC3-SHA:EDH-RSA-DES-CBC3-SHA:AES256-GCM-SHA384:AES128-GCM-SHA256:AES256-SHA256:AES128-SHA256:AES256-SHA:AES128-SHA:DES-CBC3-SHA:HIGH:!aNULL:!eNULL:!EXPORT:!CAMELLIA:!DES:!MD5:!PSK:!RC4

    # max size of temp DHE keys that are generated
    tune.ssl.default-dh-param 4096

defaults
    mode                    http
    log                     global
    option                  httplog
    option                  dontlognull
    option http-server-close
    option forwardfor       except 127.0.0.0/8
    option                  redispatch
    option                  http-server-close
    retries                 3
    timeout http-request    10s
    timeout queue           1m
    timeout connect         10s
    timeout client          1m
    timeout server          1m
    timeout http-keep-alive 10s
    timeout check           10s
    timeout tunnel          4hrs                # long timeout for Websocket connections
    maxconn                 3000

#---------------------------------------------------------------------
# http frontend
#---------------------------------------------------------------------
frontend http_https_frontend
    bind 192.168.2.201:80
    redirect scheme https if !{ ssl_fc }
    bind 192.168.2.201:443 ssl crt /etc/haproxy/ssl_2015/ssl_crt.pem
    acl secure dst_port eq 443
    rspadd Strict-Transport-Security:\ max-age=16000000;\ includeSubDomains;\ preload;
    rsprep ^Set-Cookie:\ (.*) Set-Cookie:\ \1;\ Secure if secure

#   # routing based on websocket protocol header
#   acl is_websocket hdr(Upgrade) -i WebSocket
    acl is_websocket hdr_beg(Host) -i ws
    use_backend ws_backend if is_websocket


#    # 16000000 seconds: a bit more than 6 months
#    http-response set-header Strict-Transport-Security max-age=16000000;\ includeSubDomains;\ preload;
    default_backend https_backend

#---------------------------------------------------------------------
# http backend
#---------------------------------------------------------------------
backend https_backend
    reqadd X-Forwarded-Proto:\ https
    server websvr1_http 192.168.1.125:8080

#---------------------------------------------------------------------
# ws backend
#---------------------------------------------------------------------
backend ws_backend
    server websvr1_ws 192.168.1.125:9091

HAProxy 服务器是运行 HAProxy 1.5.4 的 CentOS 7.1.1503 服务器。

提前致谢！

Answer 1

由于这是一个第三方应用程序，我不确定是否能够让他们更改他们的应用程序。因此，我想知道是否可以在 HAProxy 服务器上执行一些操作来强制建立安全的 Websocket 连接。

这主要取决于第三方应用程序。如果应用程序专门使用该ws:协议，则您在 HAProxy 端无能为力 - 浏览器甚至不会连接到 HAProxy 实例，因此您甚至没有机会对此执行任何操作。

您需要向第 3 方应用程序开发人员提出问题，让他们配置 Web 套接字协议，或添加一些检测（如果页面是通过 HTTPS 加载的，则使用 WSS）。

或者，您可以引入内容重写，其中您可以修改传出内容以将 ws:/ 重写为 wss://。HAProxy 无法做到这一点，但 Nginx 及其sub_filter模块可以做到这一点。