更新如下

Question 1

您应该避免在配置文件中使用相对路径，例如./cert.pem。请将其更改为绝对路径，例如/etc/ssl/cert.pem（调整为当前路径）。

另外，请检查cert.pem文件本身。它应该只包含可打印的文本（非二进制），且至少包含两个-----BEGIN CERTIFICATE-----,-----END CERTIFICATE-----块（您的证书和来自链的 CA）和一个-----BEGIN PRIVATE KEY-----,-----END PRIVATE KEY-----块（或可能是一个-----BEGIN RSA PRIVATE KEY-----, -----END RSA PRIVATE KEY-----）。

如果文件中有任何二进制文件cert.pem，则应将原始文件（cert.crt、priv.key）转换为 PEM 格式，cert.pem然后重新创建文件。正确的连接顺序应为最终证书、密钥、直接颁发者、下一个颁发者等。您可以省略根 CA，因为不包含它被认为是一种良好做法（没有实际需要，交换的字节数更少）。

您可以使用 openssl 将二进制格式（又名 DER）转换为文本格式（又名 PEM）：

对于证书（input.crt将是 DER 文件并且output.crt将是 PEM 格式的新文件）：

openssl x509 -inform DER -in 输入.crt -out 输出.crt

对于密钥（我假设它是一个 RSA 密钥，这是最常见的）注意：它会要求输入一个（新）密码output.key，稍后请参阅我对此的评论。

openssl rsa -inform DER -in 输入.key -out 输出.key

注意：大多数服务器都假设密钥未加密（即，下一行包含-----BEGIN PRIVATE KEY-----）ENCRYPTED。如果是这种情况，并且您的服务器仍然无法启动，请尝试将密钥转换为未加密格式（注意：在此命令中，我假设文件inputcipher.key已经是 PEM 格式）：

openssl rsa -in 输入密码.key -nodes -out 输出清除.key

至于出现错误的传递504，在后面的配置中您指向server st1 xxx.xxx.xxx.xxx:443，而在拦截配置中您指向server spsrv xxx.xxx.xxx.xxx:80。请重新检查您的后端是否在端口 80 或端口 443 上监听，但似乎没有后端在端口 443 上监听。

Answer

您应该避免在配置文件中使用相对路径，例如./cert.pem。请将其更改为绝对路径，例如/etc/ssl/cert.pem（调整为当前路径）。

另外，请检查cert.pem文件本身。它应该只包含可打印的文本（非二进制），且至少包含两个-----BEGIN CERTIFICATE-----,-----END CERTIFICATE-----块（您的证书和来自链的 CA）和一个-----BEGIN PRIVATE KEY-----,-----END PRIVATE KEY-----块（或可能是一个-----BEGIN RSA PRIVATE KEY-----, -----END RSA PRIVATE KEY-----）。

如果文件中有任何二进制文件cert.pem，则应将原始文件（cert.crt、priv.key）转换为 PEM 格式，cert.pem然后重新创建文件。正确的连接顺序应为最终证书、密钥、直接颁发者、下一个颁发者等。您可以省略根 CA，因为不包含它被认为是一种良好做法（没有实际需要，交换的字节数更少）。

您可以使用 openssl 将二进制格式（又名 DER）转换为文本格式（又名 PEM）：

对于证书（input.crt将是 DER 文件并且output.crt将是 PEM 格式的新文件）：

openssl x509 -inform DER -in 输入.crt -out 输出.crt

对于密钥（我假设它是一个 RSA 密钥，这是最常见的）注意：它会要求输入一个（新）密码output.key，稍后请参阅我对此的评论。

openssl rsa -inform DER -in 输入.key -out 输出.key

注意：大多数服务器都假设密钥未加密（即，下一行包含-----BEGIN PRIVATE KEY-----）ENCRYPTED。如果是这种情况，并且您的服务器仍然无法启动，请尝试将密钥转换为未加密格式（注意：在此命令中，我假设文件inputcipher.key已经是 PEM 格式）：

openssl rsa -in 输入密码.key -nodes -out 输出清除.key

至于出现错误的传递504，在后面的配置中您指向server st1 xxx.xxx.xxx.xxx:443，而在拦截配置中您指向server spsrv xxx.xxx.xxx.xxx:80。请重新检查您的后端是否在端口 80 或端口 443 上监听，但似乎没有后端在端口 443 上监听。

Question 2

也许这对某些人有帮助。就我而言，我在 Linux 上配置了两个网络适配器 - 本地网络和公共网络。在 Windows 上，我只有本地网络 - Windows 在本地网络中与 Linux 连接，然后通过 HAProxy 我可以从互联网打开 SharePoint 网站。

这是正确的配置，并且在我的例子中是有效的（对于 SSL，我使用了直通 - 重定向和证书在 Windows IIS 上）：

global
    maxconn 4096
    user haproxy
    group haproxy
    daemon
defaults
    mode tcp
    log 127.0.0.1 local0 notice
    maxconn 2000
    option tcplog
    option dontlognull
    timeout connect 20s
    timeout client 10m
    timeout server 10m
frontend httpid
    mode tcp
    bind *:443
    acl hosts_sharepoint hdr_end(host) -i intranet.sharepoint.com
    use_backend sharepoint if hosts_sharepoint
    default_backend sharepoint
backend sharepoint
    mode tcp
    balance roundrobin
    option redispatch
    server st1 xxx.xxx.xxx.xxx:443 #local address of the Windows server
    option ssl-hello-chk

Answer

也许这对某些人有帮助。就我而言，我在 Linux 上配置了两个网络适配器 - 本地网络和公共网络。在 Windows 上，我只有本地网络 - Windows 在本地网络中与 Linux 连接，然后通过 HAProxy 我可以从互联网打开 SharePoint 网站。

这是正确的配置，并且在我的例子中是有效的（对于 SSL，我使用了直通 - 重定向和证书在 Windows IIS 上）：

global
    maxconn 4096
    user haproxy
    group haproxy
    daemon
defaults
    mode tcp
    log 127.0.0.1 local0 notice
    maxconn 2000
    option tcplog
    option dontlognull
    timeout connect 20s
    timeout client 10m
    timeout server 10m
frontend httpid
    mode tcp
    bind *:443
    acl hosts_sharepoint hdr_end(host) -i intranet.sharepoint.com
    use_backend sharepoint if hosts_sharepoint
    default_backend sharepoint
backend sharepoint
    mode tcp
    balance roundrobin
    option redispatch
    server st1 xxx.xxx.xxx.xxx:443 #local address of the Windows server
    option ssl-hello-chk

更新如下

更新如下

首次更新

第二次更新

答案1

答案2

相关内容