HAProxy安全设置需要注意什么

HAProxy 安全设置要点

一 运行身份与最小权限

• 使用专用的系统账号运行 HAProxy，例如创建系统用户/组 haproxy，并以该身份启动进程（配置 user haproxy; group haproxy）。避免使用 root。
• 启用 chroot 将进程根目录切换到空目录（如 /var/lib/haproxy），并确保该目录对运行用户不可写，降低被攻破后的横向移动风险。
• 以守护进程方式运行（daemon），并通过 pidfile 指定 PID 文件路径，便于监管与平滑重启。
• 配置 ulimit -n 合理的最大文件描述符，避免文件描述符耗尽导致拒绝服务；通常保持默认自动计算即可。
• 进程模型建议保持 单进程（nbproc 保持默认），官方不推荐多进程；如需本地管理，使用 stats socket 而非多进程 stats 选项。

二 传输加密与证书管理

• 对外服务优先启用 HTTPS：前端监听 *bind :443 ssl crt /path/to/bundle.pem alpn h2,http/1.1，证书需将服务器证书、私钥与中间证书合并为 单一 PEM 文件，且权限设为 600、属主为 haproxy:haproxy。
• 启用 HSTS 强制浏览器使用 HTTPS：在 7 层配置中添加 http-response set-header Strict-Transport-Security “max-age=31536000; includeSubDomains” if { ssl_fc }。
• 全站 HTTPS：在 HTTP 前端加入 redirect scheme https if !{ ssl_fc }，将明文访问重定向到 HTTPS。
• 选择 SSL Termination 或 SSL Pass-Through：前者在负载均衡器解密，便于插入/修改 HTTP 头（如 X-Forwarded-For/Proto），但增加 CPU 负载；后者保持加密直达后端，无法做 7 层改写，安全性取决于后端证书管理。

三 访问控制与请求过滤

• 基于 ACL 的精细化控制：
  • 源地址白名单：仅允许内网段访问管理口或敏感路径。
  • 路径/资源区分：将 /admin 等管理路径分流到隔离后端。
  • 拒绝规则：使用 http-request deny/allow if/unless 或 block 实现黑白名单与条件拦截。
• 管理/统计页面安全：
  • 限制可访问来源 IP（ACL）。
  • 启用 Basic Auth（如 stats auth admin:StrongPass），并自定义 stats uri，避免使用默认路径与版本暴露。
• 四层访问控制：对数据库、SSH 等 mode tcp 场景，使用 tcp-request connection reject if 在连接建立前进行拦截。

四 日志审计与监控

• 启用 Syslog 审计日志（如 log 127.0.0.1 local2），并在 rsyslog 中落盘到 /var/log/haproxy.log，便于安全事件追踪与合规审计。
• 管理通道安全：使用本地 stats socket /var/lib/haproxy/stats 进行运维查询，限制文件系统权限，避免暴露在公网。

五 运行环境与运维安全

• 保持 HAProxy 与依赖库的及时更新与补丁管理，修复已知漏洞。
• 不建议通过关闭 防火墙 或 SELinux 来“排障”，应采用最小暴露面与精确放行策略（如仅开放 80/443 与管理端口给受控来源）。
• 连接与资源治理：设置合理的 maxconn 与后端 server maxconn，启用健康检查（如 inter 2000 rise 2 fall 3），防止慢速攻击与后端雪崩。
• 变更与回滚：变更前执行 haproxy -c -f /etc/haproxy/haproxy.cfg 做语法校验，变更后灰度与回滚预案并行。