Início / server / Perguntas / 934721
Accepted
kenlukas
Asked: 2018-10-10 09:25:02 +0800 CST

Habilite o cabeçalho HTTP Strict Transport globalmente no HAProxy

  • 772

Desejo habilitar cabeçalhos HTTP Strict Transport Security (HSTS) globalmente para todos os meus back-ends no HAProxy v1.5.

Seguindo as instruções de https://www.haproxy.com/blog/haproxy-and-http-strict-transport-security-hsts-header-in-http-redirects/ posso adicionar a seguinte linha a um arquivo de configuração de back-end e funciona como esperado.

http-response set-header Strict-Transport-Security max-age=16000000;\ 
includeSubDomains;\ preload;

Eu tenho uma dúzia de arquivos de back-end e provavelmente terei mais no futuro. Eu gostaria de definir isso em um só lugar.

Eu gostaria de algo semelhante a como está configurado globalmente no Apache httpd.conf:

Header always set Strict-Transport-Security "max-age=63072000; includeSubdomains;"
haproxy

2 respostas

  1. Best Answer

    haproxy não tem configuração hierárquica como o Apache. Eu não acho que isso seja possível.

    • 3

  2. Agora HAPROXY suporta HSTS para isso eu segui os passos abaixo

    Aqui está o meu arquivo cfg

    Etapa # 1 Adicione cifra estática (NÃO NECESSÁRIO ESTOU FAZENDO PARA O BEM WIL)

    frontend http-in
    bind 192.168.71.20:443 ssl crt /etc/ssl/private/domain.pem ca-file /etc/ssl/private/domain/domain.ca-bundle no-sslv3 force-tlsv12 no-tls-tickets ciphers ECDHE-RSA-AES128-GCM-SHA256:ECDHE-RSA-AES256-GCM-SHA384:ECDHE-RSA-AES128-SHA256:ECDHE-RSA-AES128-SHA:ECDHE-RSA-AES256-SHA384:ECDHE-RSA-AES256-SHA:AES128-GCM-SHA256:AES256-GCM-SHA384:AES128-GCM-SHA384:AES128-SHA256:AES128-SHA:AES256-SHA256:AES256-SHA:!MD5:!aNULL:!DH:!RC4

    Etapa # 2 Crie ACL para marcar pacotes seguros

        # Distinguish between secure and insecure requests
acl secure dst_port eq 443

    Garanta seu Cookie

        # Mark all cookies as secure if sent over SSL
rsprep ^Set-Cookie:\ (.*) Set-Cookie:\ \1;\ Secure if secure

    Por fim, aplique as configurações de HSTS

        # Add the HSTS header with a 1 year max-age
rspadd Strict-Transport-Security:\ max-age=31536000 if secure

    Depois disso reinicie o haproxy

    • 0

relate perguntas