Как настроить HAProxy чтобы для OWA с Form Based Authentication?

Question

[Александр]

Доброго дня.
Есть такая проблема - хочу выкинуть OWA наружу с Form Based Authentication. Наружу 443/tcp портом стоит HAproxy как обратный прокси, но при попытке обратиться к OWA, вместо приглашения ввести логин/пароль, браузер выдает ошибку "Сервер не найден", перенаправляя на имя физического сервера, вместо имени домена. Как-то криво описал, но смысл в том, что если ввести https://mail.company.com, он попытается найти форму аутентификации на:
https://severname/owa/auth/logon.aspx?url=https://...
хотя я бы ожидал увидеть:
https://mail.company.com/owa/auth/logon.aspx...
Внутри сети, без HAProxy, всё работает как ожидается. В какую сторону нужно смотреть?

Comments

[Александр]

Окей, я немного обошел проблему, указав в backend директиву server следующим образом:
server mail.company.com mail.company.com:443 ssl verify none check

Работает как нужно, но я думаю, что это неправильно. За адресом mail.company.com внутри сети стоит NLB из 2х CAS серверов и получается, что HAProxy пересылает запрос еще и на NLB, вместо того чтобы балансировать самому.

Answer 1

[akelsey]

Без конфигурации трудно будет вам чем то помочь, на самом деле это должно выглядеть например так:

frontend exch
        bind :443 name https tcp-ut 30s
        default_backend exch-be

backend exch-be
        balance leastconn
        stick on src 
        option tcp-check
	stick-table type ip size 1m expire 2h
        server exh-cmb1 10.10.10.111 weight 1 check port 135 inter 2s rise 2 fall 3 on-marked-down shutdown-sessions
        server exh-cmb2 10.10.10.112 weight 1 check port 135 inter 2s rise 2 fall 3 on-marked-down shutdown-sessions

Само собой mail.company.com снаружи должно резолвиться во внешний адрес haproxy.
А haproxy имел доступ до серверов. Ваша же фраза

Окей, я немного обошел проблему, указав в backend директиву server следующим образом:
server mail.company.com mail.company.com:443 ssl verify none check

мне совсем не понятна, вы обоим нодам поставили одинаковую запись? и почему вы порт пишете в бэкэнде?

Comments

[Александр]

Ну примерно так оно сейчас и выглядит. Вот секции фронтендов и бэкендов конфига:

frontend HTTP
	mode http
	timeout client 10s
	timeout http-request 10s	
	bind 10.0.0.1:80
		
	# Redirect all HTTP to HTTPS
	redirect scheme https code 301 if !{ ssl_fc }

frontend HTTPS
	bind 10.0.0.1:443 ssl crt /etc/ssl/private/mail.company.com.pem
	mode http
	
	# options
	option http-keep-alive
	no option httpclose
	no option http-server-close
	timeout client 600s
	maxconn 1000
	
	# acl
	acl is_owa_redir path / /owa
	
	acl is_mail hdr(host) -i mail.company.com
	
	# redirect root to owa
	http-request redirect location /owa/ if is_mail is_owa_redir
	
	# backends
	use_backend EXCHANGE if { ssl_fc_sni mail.company.com }
	default_backend EXCHANGE

backend EXCHANGE
	# balance source
	
	# options
	option http-keep-alive
	option prefer-last-server
	option forwardfor
	option httplog
	no option httpclose
	no option http-server-close
	no option forceclose
	no option http-tunnel

	# server cas01 cas01.intranet.company.com:443 ssl verify none check
	# server cas02 cas02.intranet.company.com:443 ssl verify none check
	
    server mail.company.com mail.company.com:443 ssl verify none check

Как видите, я закомментировал обе записи, ссылающиеся на два сервера с ролью CAS и отключил балансировку, указав вместо этого просто запись mail.company.com, которая внутри сети разрешается в IP NLB кластера серверов CAS. Если включить балансировку и отключить FBA (form based auth.) на Excahnge, то всё работает хорошо, но с FBA адрес формы ищется как раз на одном из серверов, указанных в бэкенде - CAS01, CAS02.