HAProxy: режим TCP/HTTP и завершение TLS — разные решения
Фотография конкретного исполнения не приложена.
При выборе схемы проксирования нужно определить, какой протокол анализирует HAProxy и где заканчивается шифрованное соединение. Режим tcp задаёт обработку потока без обычного HTTP-разбора, а http позволяет применять соответствующие правила уровня приложения. Наличие порта 443 само не выбирает эти функции.
Завершение TLS на listener настраивается отдельно. В справочнике 3.2 bind ssl расшифровывает принимаемый поток для дальнейшей обработки. Если TLS проходит через прокси непрозрачно, правило по HTTP-пути не получает автоматически доступ к зашифрованному запросу. При этом нельзя отождествлять любой tcp-режим с единственной схемой TLS passthrough.
После клиентского участка остаётся соединение до backend. Оно может иметь собственный TLS, проверку сертификата, имя сервера и протокол. Успешный защищённый вход клиента в HAProxy не доказывает защиту второй части пути. В проекте рисуют обе границы, включая место, где появляются открытые данные.
В приёмке сверяют фактический режим обработки, сертификат клиентского endpoint и защищённость backend-участка. Проверяют нужное HTTP-условие именно там, где запрос доступен для анализа. Согласованная схема должна объяснять, какие свойства подтверждает каждый этап; успешное установление одного TLS-сеанса не является доказательством полного поведения прикладного маршрута.
Основание — Official HAProxy3.2 text references, Configuration Manual dated2026/10/14; separate PROXY protocol1/2 specification, разделы mode; bind ssl; frontend/backend processing. Сохранён текст публичной справочной публикации; конкретная реализация может поддерживать только часть возможностей. Основание — официальные текстовые справочники ветки HAProxy 3.2. Configuration Manual имеет дату 2026/10/14; номер patch из другого HTML-конвертера на эти файлы не переносится. Установленные сборка, конфигурация и backend не проверялись; изменений не выполнялось.