Thomas.will am 21. Mai 2026 um 05:24 Uhr

2026-05-21T05:24:50Z

Thomas.will: Die Seite wurde neu angelegt: „=Erklärung der Konfigurationsblöcke= ==global== {| class="wikitable" ! Parameter !! Erklärung |- | `log /dev/log local0` || Logs werden an den l…“

2026-05-21T05:22:00Z

Die Seite wurde neu angelegt: „=Erklärung der Konfigurationsblöcke= ==global== {| class="wikitable" ! Parameter !! Erklärung |- | <code>log /dev/log local0</code> || Logs werden an den l…“

Neue Seite

=Erklärung der Konfigurationsblöcke=

==global==
{| class="wikitable"
! Parameter !! Erklärung
|-
| <code>log /dev/log local0</code> || Logs werden an den lokalen Syslog-Daemon geschickt
|-
| <code>chroot /var/lib/haproxy</code> || HAProxy läuft in einer chroot-Umgebung – erhöht die Sicherheit
|-
| <code>stats socket /run/haproxy/admin.sock</code> || Unix-Socket für die Admin-Konsole (z.B. für <code>haproxyctl</code>)
|-
| <code>user / group haproxy</code> || Prozess läuft nicht als root
|-
| <code>daemon</code> || HAProxy startet im Hintergrund
|-
| <code>ssl-default-bind-ciphers</code> || Erlaubte Cipher-Suites für TLS 1.2
|-
| <code>ssl-default-bind-ciphersuites</code> || Erlaubte Cipher-Suites für TLS 1.3
|-
| <code>ssl-default-bind-options ssl-min-ver TLSv1.2</code> || Mindestens TLS 1.2 – ältere Versionen werden abgelehnt
|}

==defaults==
{| class="wikitable"
! Parameter !! Erklärung
|-
| <code>mode http</code> || HAProxy arbeitet auf Layer 7 (HTTP), nicht Layer 4 (TCP)
|-
| <code>option httplog</code> || Ausführliches HTTP-Logging (Methode, URL, Status)
|-
| <code>option dontlognull</code> || Verbindungen ohne Daten (z.B. Port-Scans) werden nicht geloggt
|-
| <code>timeout connect 5000</code> || Maximale Wartezeit beim Verbindungsaufbau zum Backend (5 Sekunden)
|-
| <code>timeout client 50000</code> || Maximale Inaktivitätszeit auf Client-Seite (50 Sekunden)
|-
| <code>timeout server 50000</code> || Maximale Inaktivitätszeit auf Server-Seite (50 Sekunden)
|-
| <code>errorfile</code> || Eigene HTML-Fehlerseiten für HTTP-Fehlercodes
|}

==frontend ft_https==
{| class="wikitable"
! Parameter !! Erklärung
|-
| <code>bind 10.88.2XX.41:443 ssl crt ...</code> || Lauscht auf Port 443, terminiert SSL mit dem angegebenen Zertifikat
|-
| <code>option forwardfor</code> || Fügt den Header <code>X-Forwarded-For</code> hinzu – der Webserver sieht die echte Client-IP
|-
| <code>acl acl_reproxy hdr_beg(host) -i reproxy</code> || ACL greift wenn der Hostname mit ''reproxy'' beginnt (case-insensitiv)
|-
| <code>use_backend backend_www if acl_reproxy</code> || Wenn die ACL zutrifft, wird der Traffic an das Backend weitergeleitet
|}

==frontend ft_http==
{| class="wikitable"
! Parameter !! Erklärung
|-
| <code>bind 10.88.2XX.41:80</code> || Lauscht auf Port 80
|-
| <code>http-request redirect code 301 scheme https</code> || Leitet alle HTTP-Anfragen permanent (301) auf HTTPS um
|}

==backend backend_www==
{| class="wikitable"
! Parameter !! Erklärung
|-
| <code>server www www.it2XX.int:443</code> || Zielserver mit Hostname und Port
|-
| <code>ssl</code> || Verbindung zum Backend wird ebenfalls verschlüsselt
|-
| <code>verify required</code> || Das Zertifikat des Backends wird geprüft
|-
| <code>ca-file /etc/ssl/certs/ca-certificates.crt</code> || CA-Bundle zur Verifikation des Backend-Zertifikats
|}

@@ Zeile 67: / Zeile 67: @@
 ! Parameter !! Erklärung
 |-
-| <code>server www www.it2XX.int:443</code> || Zielserver mit Hostname und Port
+| <code>server www www.it2XX.int:443</code> || Zielserver mit Hostname und Port – HAProxy setzt SNI automatisch korrekt
 |-
-| <code>ssl</code> || Verbindung zum Backend wird ebenfalls verschlüsselt
+| <code>ssl</code> || Verbindung zum Backend wird verschlüsselt (HTTPS)
 |-
-| <code>verify required</code> || Das Zertifikat des Backends wird geprüft
+| <code>verify none</code> || Zertifikat des Backends wird nicht geprüft – bei internen/selbst-signierten Zertifikaten üblich
 |}

HAProxy Erläuterungen - Versionsgeschichte

Thomas.will am 21. Mai 2026 um 05:24 Uhr

Thomas.will: Die Seite wurde neu angelegt: „=Erklärung der Konfigurationsblöcke= ==global== {| class="wikitable" ! Parameter !! Erklärung |- | log /dev/log local0 || Logs werden an den l…“

Thomas.will: Die Seite wurde neu angelegt: „=Erklärung der Konfigurationsblöcke= ==global== {| class="wikitable" ! Parameter !! Erklärung |- | `log /dev/log local0` || Logs werden an den l…“