d-stream

А теперь представим себе ситуацию: что-то произошло и сертификаты просрочились. Запускается certbot, просит letsencrypt выдать новый серт, тот бежит на 443 порт... и ssl error - certificate invalid

Ну можно попробовать прочитать readme... Ну или просто лентяйски setsebool -P haproxy_connect_any 1
А если хочется тонко - оттюнить то прочитать readme или вывод поисковика на тему "haproxy+selinux")

А почему бы не научить haproxy проверять живость бэкэнда для начала?
А потом ещё и показывать красивую статистику.

а в чем проблема-то?
на фронтенде
use_backend back1 if {hdr(host) -i hos1.ru}
use_backend back2 if {hdr(host) -i hos2.ru}
...

и нужное число бэкэндов

Первое как уже подметили - это mode http
Второе - все обращения к test.test2.ru/bla-bla будут соответствовать условию hdr_beg(host) -i test.test2.ru
Ибо это звучит как "хост в заголовке начинается с ..."
Соответственно как минимум стоит оперировать с вариациями path*

например совсем грубо:

redirect code 301 localtion  test.test2.ru/user/login  if { path / } # тогда и только тогда когда путь в uri будет /

или чуть поизвращённей (если вдруг в path test.test2.ru не окажется ведущего /):

redirect code 301 localtion  test.test2.ru/user/login  if {  path_len 0-1  } # *

_________________
* - судя по мануалу "Returns true when the path length matches the values or ranges specified." но как именно задать range "0-1" или "0 1" или "0,1" подсказать затрудняюсь