Editing HAProxy (section)

==== Configurare Frontend ====

Fișierele sunt stocate modular în directorul inclus secundar (`conf.d/`).

<code class="mw-code mw-highlight plainlinks" style="display:block"><!--
-->&#32;# nano /etc/haproxy/conf.d/websites.cfg
&#32;
&#32;# FRONTEND HTTP - Port 80 (Cu suport ACME Challenge integrat dinamic)
&#32;
&#32;frontend fe_http
&#32;&#32;&#32;&#32;bind *:80
&#32;&#32;&#32;&#32;mode http
&#32;
&#32;&#32;&#32;&#32;# Extrage stringul curat al domeniului (taie portul :80 trimis de unele browsere)
&#32;&#32;&#32;&#32;http-request set-var(txn.backend) req.hdr(host),field(1,:),lower,map(/etc/haproxy/maps/web-http.map)
&#32;
&#32;&#32;&#32;&#32;# Detecție trafic ACME Challenge (Let's Encrypt / ISPConfig)
&#32;&#32;&#32;&#32;acl is_acme path_beg /.well-known/acme-challenge/
&#32;
&#32;&#32;&#32;&#32;# Securitate: Blocare 403 dacă domeniul nu există în map ȘI nu este o cerere ACME
&#32;&#32;&#32;&#32;http-request deny deny_status 403 if ! { var(txn.backend) -m found } !is_acme
&#32;
&#32;&#32;&#32;&#32;# Rutare: Trimite către backend-ul identificat în map
&#32;&#32;&#32;&#32;use_backend %[var(txn.backend)] if { var(txn.backend) -m found }
&#32;
&#32;&#32;&#32;&#32;# Fallback obligatoriu pentru procesarea automată a certificatelor ACME generate în ISPConfig
&#32;&#32;&#32;&#32;default_backend be_vm1_http
&#32;
&#32;# FRONTEND HTTPS - Port 443 (SSL Passthrough transparent pe bază de SNI)
&#32;
&#32;frontend fe_https
&#32;&#32;&#32;&#32;bind *:443
&#32;&#32;&#32;&#32;mode tcp
&#32;
&#32;&#32;&#32;&#32;# Inspectează pachetele inițiale TCP pentru a citi header-ul TLS nesecurizat
&#32;&#32;&#32;&#32;tcp-request inspect-delay 5s
&#32;&#32;&#32;&#32;tcp-request content accept if { req.ssl_hello_type 1 }
&#32;
&#32;&#32;&#32;&#32;# Rutare Layer 4 bazată pe SNI-ul extras din handshake-ul TLS potrivit în map-ul HTTPS
&#32;&#32;&#32;&#32;use_backend %[req.ssl_sni,lower,map(/etc/haproxy/maps/web-https.map)]
&#32;
&#32;&#32;&#32;&#32;# Dacă domeniul accesat prin TLS nu există în map, conexiunea este respinsă direct
&#32;&#32;&#32;&#32;default_backend be_https_deny
&#32;
</code>