使用Apache使用多个证书配置反向代理https

Question

我有以下设置：

• 一个公共IP
• 指向上面相同IP的2个不同域名：domain1.com和domain2.com
• 2种不同的SSL证书：一种用于domain1.com，另一种用于domain2.com
• 同一局域网（192.168.1.10和192.168.1.20）上的2台运行Apache2和debian 8.5的物理机

我测试了两个服务器，分别将443端口流量转发到任一台计算机。 他们工作得很好。

现在，我将所有到达公共IP的端口443请求转发到位于192.168.1.10的第一台服务器，我希望该服务器充当https://domain1.com的https服务器并重定向对https：/的请求/domain2.com到地址192.168.1.20

我试图在第一台机器上配置反向代理。 它确实将对domain2的请求重定向到192.168.1.20处的计算机，但它为domain1提供证书。 如何配置反向代理以为每台服务器提供正确的证书？

先感谢您。 朱莉娅

Answer 1

最简单的“解决方案”（很好，解决方法）是使用包含两个主机名的单个证书。 如果您不能这样做，则需要配置Apache SNI，如下所示： 使用SNI的虚拟主机使用SSL

Answer 2

正如一些建议一样，我尝试使用Apache2反向代理。 这可以通过某种方式起作用，但是您必须在运行Apache2的计算机上安装所有证书。 因此，lan上的流量不再是https，这不能满足我的要求。

解决方法是使用haproxy。 可以将此包设置为https的传递。 互联网上有许多此类应用程序的示例。 它恰好满足了我的要求：我可以在具有单个公共IP的nat路由器后面的局域网中托管许多https服务器。 交通由haproxy作为https发送到LAN上指定的服务器。 如果有人感兴趣，我将很乐意分享我的配置文件，以解决我在问题中提出的问题。

Answer 3

对于Robert M：这是要在默认haproxy.cfg文件末尾添加的配置：

    frontend ft_https
    mode tcp
    option tcplog
    bind *:443

    tcp-request inspect-delay 5s
    tcp-request content accept if { req.ssl_hello_type 1 }

    acl domain1_com req.ssl_sni -m end  domain1.com # all url ending with domain1.com   
    acl domain2_com req.ssl_sni -i www.domain2.com # exactly www.domain2.com

    use_backend b_domain1_com if domain1_com
    use_backend b_domain2_com if domain2_com
    default_backend b_default

    backend b_default
    mode tcp
    option tcplog
    server srv_default 127.0.0.1:1443

    backend b_domain1_com
    mode tcp
    option tcplog
    server srv_domain1 192.168.1.10:1443

    backend b_domain2_com
    mode tcp
    option tcplog
    server srv_domain2 192.168.1.20:443

我必须将第一台服务器上apache的https端口更改为1443，因为haproxy和apache无法绑定到同一443端口，因为它们位于同一台计算机上，但是对用户是透明的。