HAProxy可以在一个IP和端口上同时支持Web服务器和SSL VPN吗？

Question

我需要一个反向代理，通过坐在一个IP /端口上来连接Lablz Web服务器和SSL VPN Adito（SSL Explorer fork）。无法通过Nginx实现这一目标。无法将Adito用作通用反向HTTP代理。

如果HAProxy无法检测到HTTP流量，它是否可以回退为TCP代理？ 换句话说，如果第7层检查确定这不是HTTP流量，它是否可以回退到第4层？

这是我的设置

• 具有一个公共IP（弹性IP）的EC2机器。
• 只打开一个端口 - 443。
• Stunnel坐在443上，正在将流量传递给HAProxy（我不喜欢使用Stunnel但是HAProxy还没有完全支持SSL，不像Nginx）。
• HAProxy必须配置为将一些HTTP流量传递到一个服务器（面向SVN服务器的Apache服务器）和其他HTTP流量传递到我们的Lablz Web / App服务器。
• 必须将所有非HTTP流量转发到Adito VPN。
  • 此流量为：
    • VNC，NX，SMB
    • ...以及Adito支持的所有其他协议

我不能依靠源IP地址或端口将流量分成HTTP和非HTTP。

那么，这样的配置可以在HAProxy中完成吗？可以使用任何其他反向代理吗？如果我不正确地考虑HAProxy，请告诉我，并且可以采用替代方法。

BTW，Adito SSL VPN非常棒，如果这个设置有效，我们将能够为Lablz开发人员提供一流的单点登录安全VNC-over-HTTPS访问他们在云端的盒子。

没有解决方案，但通过Adito - 请证明我错了。但请不要说VNC over SSH更好。是的，VNC-over-SSH更快，更安全，但也更难（我们的目标用户群）设置和假设用户位于防火墙后面，允许端口22上的出站流量（并非总是如此）。 / p>

此外，Adito不仅仅是远程访问网关 - 它是一个完整的浏览器内VPN，一个软件分发平台等等。我与Adito家伙无关 - 请参阅我的Adito post on our Lablz blog。

Answer 1

好的，首先，我会使用简单的防火墙将所有HTTP与非HTTP流量分开。您需要的是数据包检查，以确定它是什么。

haproxy或nginx都不能这样做。它们都是针对网络流量制作的，我不知道他们如何检查流量来猜测他们正在处理的是什么。

更新：仔细研究一下，使用iptables，您可以使用字符串匹配来 devide 流量。然而，这一切都很棘手，尤其是加密性质。我的一个朋友发现了l7-filter，这看起来就像你需要的那样。如果这有帮助，请告诉我。