在 HAProxy 中为根域使用 EV SSL 证书

Question

我有一个 Web 应用，它为每个客户提供一个子域名。目前，所有客户子域名（例如 user1.example.com、user2.example.com）和根域名（即 www.example.com、example.com）都使用单个通配符证书进行保护。

现在我想对根域使用扩展验证证书，并继续对子域使用通配符证书。

是否可以根据该条件配置 HAProxy 以提供不同的证书？是否可以只有一个后端并且仅使用不同的证书？

这个问题不同于这个因为在我的情况下，两个证书对根域都有效，所以 HAProxy 无法自动确定应该使用哪个证书。我需要一种方法来根据请求的域 (SNI) 明确设置应该使用哪个证书。事实上，对于根域，我想使用 EV 证书（而不是通配符证书）。

Answer 1

实际上你很幸运。如果你将 haproxy 配置为使用这两个证书，无论是将它们放在同一个目录中并列出，还是明确列出这两个证书，HAProxy 都会为你做正确的事情。我有发布关于 haproxy 邮件列表上的内容。有关 crt 指令的相关内容如下：

可以多次指定此指令，以便从多个文件或目录加载证书。多次指定时，将按照配置中指定的顺序查找证书，通配符证书除外，它们总是会被最后查找。

另外，你可以看看crt 列表。