HAProxy不管理TLS证书生命周期，仅按SNI分发外部准备的PEM格式证书（证书+中间CA+私钥合并），需统一存放、严格权限，并通过crt-list或bind crt配置多域名HTTPS终止，支持热更新与自动化同步。
HAProxy 本身不直接管理 TLS 证书（如自动申请、续期或存储私钥），但它能高效地在高可用环境中根据域名（SNI）分发不同证书，实现多域名 HTTPS 终止。关键在于：证书由外部管理，HAProxy 负责按需加载和匹配。
证书文件准备与格式要求
HAProxy 要求每个域名的证书必须是 PEM 格式，且将公钥证书与对应私钥合并为单个文件（顺序为：证书 → 中间 CA → 私钥）。例如：
-
example.com.pem 内容应为：
-----BEGIN CERTIFICATE-----
（example.com 的证书）
-----END CERTIFICATE-----
-----BEGIN CERTIFICATE-----
（Let's Encrypt 中间证书）
-----END CERTIFICATE-----
-----BEGIN PRIVATE KEY-----
（example.com 的私钥）
-----END PRIVATE KEY----- - 多个域名需各自独立的 PEM 文件，如 api.example.com.pem、admin.example.org.pem
- 所有 PEM 文件建议统一存放在 /etc/haproxy/certs/ 下，并设置严格权限：
chmod 600 /etc/haproxy/certs/*.pem；
chown haproxy:haproxy /etc/haproxy/certs/*.pem
配置 SNI 多证书支持（使用 ssl_fc_sni）
在 frontend 中启用 TLS 终止，并通过 bind 指令绑定多个证书。HAProxy 会根据客户端 SNI 扩展自动选择匹配域名的证书：
- 基础写法（推荐）：使用 crt-list 文件集中管理，便于扩展：
bind *:443 ssl crt-list /etc/haproxy/certs/certlist.txt -
certlist.txt 示例（每行一个域名+对应 PEM 路径）：
/etc/haproxy/certs/example.com.pem example.com
/etc/haproxy/certs/api.example.com.pem api.example.com
/etc/haproxy/certs/admin.example.org.pem admin.example.org - 若只配少量域名，也可直接在 bind 行中列出：
bind *:443 ssl crt /etc/haproxy/certs/example.com.pem crt /etc/haproxy/certs/api.example.com.pem
高可用场景下的证书热更新与同步
在双机或多节点 HAProxy 集群中，证书变更需确保各节点一致，避免因证书不匹配导致 TLS 握手失败：
- 不重启 reload 即可生效：修改证书文件后，执行 haproxy -f /etc/haproxy/haproxy.cfg -p /var/run/haproxy.pid -sf $(cat /var/run/haproxy.pid)，HAProxy 会平滑加载新证书
- 证书同步建议用自动化工具（如 Ansible、rsync + inotify）统一推送至所有节点的相同路径
- 避免 NFS 共享证书目录——HAProxy 不支持并发读取同一 PEM 文件，可能引发竞争或加载失败
- 可配合 Let’s Encrypt 的 --deploy-hook 自动触发 reload 和同步，例如：
certbot renew --deploy-hook "/usr/local/bin/haproxy-reload.sh"
验证与排错要点
部署后务必验证 SNI 行为是否符合预期：
- 用 OpenSSL 检查指定域名返回的证书：
openssl s_client -connect example.com:443 -servername example.com -showcerts 2>/dev/null | openssl x509 -noout -subject - 确认 HAProxy 日志中无 SSL handshake failure 或 PEM_read_bio_X509_AUX failed 类错误
- 检查 haproxy -c -f /etc/haproxy/haproxy.cfg 输出，确保证书路径可读、格式合法
- 浏览器访问时，地址栏锁图标显示的证书主体应与请求域名完全一致（不含通配符误匹配）
