HAProxy + Keycloak重定向问题

Question

我有一台HAProxy充当负载平衡器，在独立模式下运行Keycloak的2台机器前面。

版本

• HAProxy版本1.6.3，2015/12/25发布
• Keycloak版本2.4.0.Final

HAProxy配置

global
  user haproxy
  group haproxy
  log /dev/log local0
  log-tag WARDEN
  chroot /var/lib/haproxy
  daemon
  quiet
  stats socket /var/lib/haproxy/stats level admin
  maxconn 256
  pidfile /var/run/haproxy.pid
  tune.bufsize 262144

defaults
  timeout connect 5000ms
  timeout client 5000ms
  timeout server 5000ms
  log global
  mode http
  option httplog
  option dontlognull
  option redispatch
  retries 5
  stats uri /haproxy-status

frontend http-in
  mode http
  bind *:80
  maxconn 2000
  redirect scheme https code 301 if !{ ssl_fc }

frontend https
  mode http
  default_backend servers
  bind *:443 ssl crt /etc/letsencrypt/live/authhomolog2.portaltecsinapse.com.br/combined.pem
  maxconn 2000
  option forwardfor
  http-request set-header X-Forwarded-Port %[dst_port]
  http-request set-header X-Forwarded-For %[src]
  http-request set-header X-Forwarded-Proto https

backend servers
  mode http
  balance source
  cookie JSESSIONID prefix
  server master 172.30.0.74:8080 maxconn 32 check cookie master
  server slave 172.30.0.124:8080 maxconn 32 check cookie slave

Keycloak相关配置

<subsystem xmlns="urn:jboss:domain:undertow:3.0">
            <buffer-cache name="default"/>
            <server name="default-server">
                <http-listener name="default"
                  socket-binding="http"
                  proxy-address-forwarding="true"
                  redirect-socket="proxy-https"/>
...
...

<socket-binding-group name="standard-sockets" default-interface="public" port-offset="${jboss.socket.binding.port-offset:0}">
        <socket-binding name="proxy-https" port="443"/>
...
...

当我尝试登录使用Keycloak作为单点登录的Java应用程序时，我在屏幕上显示403 Forbidden错误：

HAProxy日志

12月16日13:18:49 keycloak-haproxy-test WARDEN [8714]：191.205.78.16：35794 [16 / Dec / 2017：13：18：48.582] https~servers / master 487/0/0/72/559 302 2765 - - --NN 2/2/0/1/0 0/0“GET /realms/BMW/protocol/openid-connect/auth?response_type=code&client_id=BMWGestaoDealer&redirect_uri=https%3A%2F%2Fhomolog2gd.bmwbic.com .BR％2Ffavicon.ico＆状态= 81％2F4ad46389-fe45-4dec-b804-5563c29c51db＆登录=真范围= OpenID的

HTTP / 1.1“Dec 16 13:18:49 keycloak-haproxy-test WARDEN [8714]：54.233.89.231：54608 [16 / Dec / 2017：13：18：48.606] https~servers / slave 552/0/0 / 4/556 400 457 - - --NN 2/2/0/1/0 0/0“POST / realms / BMW / protocol / openid-connect / token HTTP / 1.1”

我意识到GET请求在我的机器上启动的请求（191.205.78.16）由主Keycloak机器响应，并且应用服务器（54.233.89.231）启动的重定向POST请求由从属Keycloak机器响应。我希望所有这些请求都由同一台机器（主机或从机）响应。你知道我是怎么做到的吗？我在HAProxy中尝试了很多不同的配置而没有成功。 :-(

还有一个信息，如果我只留下主或从属Keycloak实例，它工作正常。

Keycloak奴隶日志

2017-12-16 14：43：13.235 WARN [org.keycloak.events]（默认任务-1）type = CODE_TO_TOKEN_ERROR，realmId = BMW，clientId = BMWGestaoDealer，userId = null，ipAddress = 54.233.89.231，error = invalid_code， grant_type = authorization_code，code_id = 52204563-53c8-4c72-bd8c-cb7540ebda3b，client_auth_method = client-secret

我很感激这里有任何帮助。

Answer 1

我并不熟悉Haproxy或keycloak，但它看起来像会话粘性的问题。所以我的猜测是，应该在haproxy端启用粘性会话，这样他就可以在重定向发生时保持在同一个后端。希望它能给你一个提示。