Apache SSLヘッダ(SNI)の書き換え

Question

前提

バージョン：2.4
リバースプロキシとして使用

実現したいこと

SSLヘッダ(SNI)を自由に書き換えて、後段転送する手法はないか。
※HTTPヘッダなら、Headerディレクティブ・RequestHeaderディレクティブで実現可能なことは知っています。

Comments

[maisumakun]

SSLはどこで終端させるのですか？

[hakoritenshi]

いったんApacheで終端させます。
リクエスト⇒★Apache⇒後段サーバ

★ApacheのところでSSLヘッダを書き換えて、後段サーバに転送させる手法を探しています。

[maisumakun]

「ApacheのところでSSLヘッダを書き換えて」とありますが、Apache⇒後段サーバもSSLで通信する、ということでしょうか？

[hakoritenshi]

その通りです。
リクエスト⇒(https)⇒★Apache⇒(https)⇒後段サーバ
★ApacheのところでSSLヘッダを書き換えて、後段サーバに転送させる手法を探しています。

Answer 1

SNI のサーバーネームは HTTP の前の TLS の段階で ClientHello で送られます。(HTTP ヘッダではない)
ProxyPass などで https://backend.example.com/ と設定した場合、URL のホスト名 "backend.example.com" が SNI サーバーネームとして送られます。
ホスト名と SNI サーバーネームを違うものにする設定はなさそうです。

また、ProxyPreserveHost On とした場合、Host ヘッダとともに SNI サーバーネームも元のリクエストのものが送られるようです。

Answer 2

「SNIヘッダを書き換える」なんてややこしい発想をする必要そのものがないのではないでしょうか。

いったんApacheでSSLを終端してしまう以上、フロントエンド側のSSLとバックエンド側のSSLは全く別個の接続です。Apache内でrewriteなどを行ってバックエンドのサーバへ接続すれば、バックエンドサーバがSNIを適用しているかどうかを問わず、URLやホスト名に応じて適切な接続が構築されます。