Editing HAProxy (section)

=== HTTPS (port 443) cu SSL Termination în HAProxy ===

În această situaţie HAProxy gestionează certificatul.

==== Generare certificat Let’s Encrypt ====

Necesită port 80 public și domeniu valid.<br>
Certbot, în modul <span style="  font-family: Courier New;">--standalone</span>, pornește un mini‑webserver intern pe portul 80 pentru a răspunde la challenge-ul HTTP‑01 de la Let’s Encrypt.<br>
Dacă HAProxy este pornit, acesta ocupă portul 80 și Certbot nu poate porni serverul de validare, ceea ce duce la eșecul generării certificatului.

'''Instalare certbot'''

<code class="mw-code mw-highlight plainlinks" style="display:block"><!--
-->&#32;apt -y install certbot
</code>

'''Oprire temporară HAProxy'''

<code class="mw-code mw-highlight plainlinks" style="display:block"><!--
-->&#32;systemctl stop haproxy
</code>

'''Generare certificat'''

<code class="mw-code mw-highlight plainlinks" style="display:block"><!--
-->&#32;certbot certonly --standalone -d wiki.stradivart.ro
</code>

'''Creare fișier PEM pentru HAProxy'''

<code class="mw-code mw-highlight plainlinks" style="display:block"><!--
-->&#32;# mkdir -p /etc/haproxy/certs
&#32;# cat /etc/letsencrypt/live/wiki.stradivart.ro/fullchain.pem \
&#32;&#32;&#32;/etc/letsencrypt/live/wiki.stradivart.ro/privkey.pem \
&#32;&#32;&#32;> /etc/haproxy/certs/wiki.stradivart.ro.pem
&#32;# chmod 600 /etc/haproxy/certs/wiki.stradivart.ro.pem
</code>

==== Frontend HTTPS (SSL termination) ====

<code class="mw-code mw-highlight plainlinks" style="display:block"><!--
-->&#32;frontend https_in
&#32;&#32;&#32;&#32;bind *:443 ssl crt /etc/haproxy/certs/wiki.stradivart.ro.pem
&#32;&#32;&#32;&#32;mode http
&#32;&#32;&#32;&#32;option forwardfor
&#32;&#32;&#32;&#32;default_backend http_webserver
</code>
* *bind :443 ssl crt ... – HAProxy decriptează SSL.
* mode http – traficul devine HTTP după terminarea SSL.
* default_backend http_webserver – backend-ul HTTP unic.

==== Backend HTTPS (SSL termination) ====

În cazul SSL termination, backend-ul nu procesează trafic HTTPS.<br>
HAProxy decriptează SSL în frontend, iar backend-ul primește trafic HTTP normal (non‑SSL).<br>
De aceea backend-ul este identic cu backend-ul HTTP.

<code class="mw-code mw-highlight plainlinks" style="display:block"><!--
-->&#32;backend http_webserver
&#32;&#32;&#32;&#32;mode http
&#32;&#32;&#32;&#32;balance leastconn
&#32;&#32;&#32;&#32;option httpchk GET /
&#32;&#32;&#32;&#32;server vm01 192.168.14.11:80 check
&#32;&#32;&#32;&#32;server vm02 192.168.14.22:80 check
&#32;&#32;&#32;&#32;server vm03 192.168.14.33:80 check	
</code>

* mode http – backend-ul procesează HTTP.
* balance leastconn – trimite traficul către serverul cu cele mai puține conexiuni active.
* option httpchk GET / – health-check HTTP.
* server vm01/vm02/vm03 – cele trei VM.