Базовая аутентификация и данные от curl к бэкэнду HAProxy не работают при завершении TLS, но работают при сквозной передаче TLS

слушай пки
    bind *:8884 ssl no-sslv3 crt ​​/HAPROXY.pem.ecdsa проверить требуемый ca-файл /CA_CHAIN.pem
    режим http
    HTTP-запрос add-header Content-Type "application/pkcs10"
    http-запрос добавить заголовок Content-Transfer-Encoding "base64"
    http-request add-header Авторизация "Basic somebase64encodedstring"
    default_backend pkis_1
    
серверная часть pkis_1
    режим http
    HTTP-запрос add-header Content-Type "application/pkcs10"
    http-запрос добавить заголовок Content-Transfer-Encoding "base64"
    http-request add-header Авторизация "Basic somebase64encodedstring"
    сервер pkis my.domain.com:443 ssl проверить нет

Используя приведенную выше конфигурацию, мы можем успешно вызвать бэкэнд из curl на определенной конечной точке, используя те же сертификаты, но мы заблокированы на другой конечной точке того же сервера, для которой требуется базовая аутентификация.

Вызов завитка:

curl --cacert '$INITIAL_CACERT' --key '$INITIAL_DEVICE_KEY' --cert '$INITIAL_DEVICE_CERT' --user '$USER':'$PWD' --data @'$1'/'$KEY_NAME'-key.b64 -o '$1'/'$KEY_NAME'-cert-p7.b64 -H "Тип содержимого: application/pkcs10" -H "Кодировка передачи содержимого: base64" https://'$PKI_SERVER':'$PORT '/.well-known/est/'$2'/simpleenroll

Есть ли способ перенаправить все из этой команды curl в бэкэнд?

Странно то, что когда мы удаляем всю аутентификацию ssl и переключаемся в режим tcp в качестве прозрачного прокси, базовая аутентификация работает!

https://serversforhackers.com/c/using-ssl-сертификаты-с-хапрокси

Как написано в статье выше:

Однако вы теряете возможность добавлять или редактировать заголовки HTTP, так как соединение просто направляется через балансировщик нагрузки на прокси-серверы.

Это означает, что ваши серверы приложений потеряют возможность получать заголовки X-Forwarded-*, которые могут включать IP-адрес клиента, порт и используемую схему.

Итак, я понимаю, что невозможно распространять требуемые заголовки с завершением TLS, и поэтому запросы работают, когда мы играем в режиме TLS-passthrough!

Я не могу полностью понять вашу конфигурацию HAProxy, но похоже, что вы жестко кодируете заголовки для своего бэкэнда. Вместо этого я бы добавил заголовки HTTP из curl. Не забывайте о типе контента, базовая информация аутентификации предназначена для передачи от клиента, поскольку не все запросы будут иметь одинаковый тип контента или базовую аутентификацию. Ознакомьтесь с ответами от здесь о том, как передать основную информацию об авторизации в curl.