TLS до backend HAProxy: имя SNI участвует в проверке сертификата
Увеличить схему
Фотография конкретного исполнения не приложена.
Защищённый клиентский listener не определяет автоматически доверие к backend. Для исходящего TLS нужно установить ожидаемую личность сервера и доверенные CA. Одно включение шифрования недостаточно для подтверждения нужного назначения соединения.
В текстовом справочнике HAProxy 3.2 при verify required имя из SNI используется также для сопоставления с сертификатом. Если SNI отсутствует, статическое verifyhost задаёт имя для такой проверки. Без выбранного имени проверка цепочки и проверка назначения не являются одним результатом; это нужно учитывать при конфигурации конкретной сборки.
Выражение SNI должно соответствовать прикладному назначению запроса. Его нельзя всегда брать из первоначального клиентского TLS-сеанса, если по одному соединению могут идти разные HTTP host. Health checks имеют отдельную настройку check-sni и собственный путь, поэтому их успешность не подтверждает правильность имени для всего рабочего трафика.
В приёмке проверяют верный backend, неправильное имя, недоверенный сертификат и согласованное поведение проверки здоровья. Сверяют фактическое назначение и режим проверки, не ослабляя его ради исчезновения ошибки. Успешный TLS handshake подтверждает только выполненные условия конкретного соединения; прикладной ответ и полномочия клиента проверяются отдельно.
Основание — Official HAProxy3.2 text references, Configuration Manual dated2026/10/14; separate PROXY protocol1/2 specification, разделы Server verify; verifyhost; sni; check-sni. Сохранён текст публичной справочной публикации; конкретная реализация может поддерживать только часть возможностей. Основание — официальные текстовые справочники ветки HAProxy 3.2. Configuration Manual имеет дату 2026/10/14; номер patch из другого HTML-конвертера на эти файлы не переносится. Установленные сборка, конфигурация и backend не проверялись; изменений не выполнялось.
Запросы отправляются на наш e-mail из вашей почтовой программы.
