nmarus/haproxy-certbot

HAProxy与Certbot整合镜像

镜像概述

该Docker镜像整合了HAProxy（反向代理/负载均衡器）、Certbot（Let's Encrypt证书工具）、cron（定时任务）和supervisord（进程管理），旨在简化Web服务的SSL证书管理与反向代理配置，支持自动获取和更新免费SSL证书，并实现HAProxy无 downtime 重载，确保服务连续性。

核心功能

• 自动证书管理：通过Certbot对接Let's Encrypt API，自动获取、续期SSL证书
• 无 downtime 重载：HAProxy配置或证书更新时，采用队列请求方式实现零中断重载
• SSL终止：HAProxy处理SSL加密/解密，后端服务无需配置SSL
• 灵活反向代理：支持负载均衡、域名路由等HAProxy核心功能
• 定时任务：自动执行证书续期与配置刷新

使用场景

• 需要为Web服务配置免费SSL证书的场景
• 需实现反向代理或负载均衡的多后端服务部署
• 希望简化证书管理与服务重载流程的运维场景

配置说明

部署容器

使用以下命令创建容器，映射必要的卷以持久化配置、证书等数据：

bash
docker run -d \
  --restart=always \
  --name haproxy-certbot \
  --cap-add=NET_ADMIN \
  -p 80:80 \
  -p 443:443 \
  -v /docker/haproxy/config:/config \
  -v /docker/haproxy/letsencrypt:/etc/letsencrypt \
  -v /docker/haproxy/certs.d:/usr/local/etc/haproxy/certs.d \
  nmarus/haproxy-certbot

卷说明：

• /config：存放HAProxy配置文件（haproxy.cfg）
• /etc/letsencrypt：Let's Encrypt证书与配置存储目录（需备份）
• /usr/local/etc/haproxy/certs.d：HAProxy可直接使用的证书格式目录（自动生成）

常用Helper脚本

添加新证书

bash
# 测试获取证书（--dry-run模式）
docker exec haproxy-certbot certbot-certonly \
  --domain example.com \
  --domain www.example.com \
  --email your@email.com \
  --dry-run

# 生成正式证书后，刷新HAProxy配置
docker exec haproxy-certbot haproxy-refresh

（移除--dry-run即可生成正式证书）

手动续期证书

bash
docker exec haproxy-certbot certbot-renew \
  --dry-run

（移除--dry-run执行正式续期）

刷新HAProxy证书配置

bash
docker exec haproxy-certbot haproxy-refresh

示例HAProxy配置

以下是集群后端场景的配置示例，支持Let's Encrypt验证、HTTP转HTTPS、负载均衡：

global
  maxconn 1028
  log 127.0.0.1 local0
  log 127.0.0.1 local1 notice
  ca-base /etc/ssl/certs
  crt-base /etc/ssl/private
  ssl-default-bind-ciphers ECDH+AESGCM:DH+AESGCM:ECDH+AES256:DH+AES256:ECDH+AES128:DH+AES:ECDH+3DES:DH+3DES:RSA+AESGCM:RSA+AES:RSA+3DES:!aNULL:!MD5:!DSS
  ssl-default-bind-options no-sslv3

defaults
  option forwardfor
  log global
  timeout connect 5000ms
  timeout client 50000ms
  timeout server 50000ms
  stats enable
  stats uri /stats
  stats realm Haproxy\ Statistics
  stats auth admin:haproxy

frontend http-in
  bind *:80
  mode http
  reqadd X-Forwarded-Proto:\ http
  acl letsencrypt_http_acl path_beg /.well-known/acme-challenge/
  redirect scheme https if !letsencrypt_http_acl
  use_backend letsencrypt_http if letsencrypt_http_acl
  default_backend my_http_backend

frontend https_in
  bind *:443 ssl crt /usr/local/etc/haproxy/default.pem crt /usr/local/etc/haproxy/certs.d ciphers ECDHE-RSA-AES256-SHA:RC4-SHA:RC4:HIGH:!MD5:!aNULL:!EDH:!AESGCM
  mode http
  reqadd X-Forwarded-Proto:\ https
  default_backend my_http_backend

backend letsencrypt_http
  mode http
  server letsencrypt_http_srv 127.0.0.1:8080

backend my_http_backend
  mode http
  balance leastconn
  option tcp-check
  option log-health-checks
  server server1 1.1.1.1:80 check port 80
  server server2 2.2.2.2:80 check port 80
  server server3 3.3.3.3:80 check port 80