Błąd uzgadniania protokołu HAProxy SSL przy zbyt dużej liczbie żądań w krótkim czasie

Problem:

Około 1% żądań jest związanych z niepowodzeniem uzgadniania SSL. Nie pochodzą z żadnego konkretnego źródła.

Szablon:

Zwykle widzę problem, gdy klient szybko zgłasza zbyt wiele żądań. Chociaż czasami istnieją pojedyncze żądania, które nie przechodzą uzgadniania SSL.

Pytanie:

Chciałbym wiedzieć, czy coś jest nie tak z moją konfiguracją lub oczekiwany/normalny wskaźnik awarii 1% lub coś nie tak po stronie klienta, może używają złej wersji TLS itp. Wiem, że 1% brzmi niewiele, ale 1% to więcej niż 20 000 000 odwiedzin dziennie przy naszym obecnym ruchu.

Melodia:

System operacyjny: Debian 9

Wersja HA-Proxy: 1.8.19-1 ~ bpo9 + 1 2019/02/12
SSL jest obsługiwany przez haproxy, przetwarzanie danych odbywa się za pomocą dwóch backendów. Nie są serwerami WWW.
Ważne części z konfiguracji:

global                nbproc 1

                nbthread 40

                cpu-map auto:1/all 0-

                maxconn 400000...defaults

defaults

                log     global

                mode    http

                option  dontlognull

                option redispatch

                option forceclose

                option forwardfor

                retries 5

                timeout connect 100

                timeout queue 5000

                timeout client  100000

                timeout server  100000

                maxconn 25000                ssl-default-bind-options no-sslv3

                ssl-default-bind-ciphers ECDH+AESGCM:ECDH+CHACHA20:DH+AESGCM:ECDH+AES256:DH+AES256:ECDH+AES128:DH+AES:RSA+AESGCM:RSA+AES:!aNULL:!MD5:!DSS                tune.ssl.default-dh-param 2048...listen app1-https

                option httplog

                bind xx.xx.xx.1:443 ssl crt/path/to/ssl/certname.pemlisten app2-https

                option httplog

                bind xx.xx.xx.2:443 ssl crt/path/to/ssl/certname.pem...

Czasopisma

(
grep -i handshake

)

Apr  1 09:18:54 loadbalancer haproxy[14141]: 115.132.xx.xx:9225 [01/Apr/2019:09:18:54.373] app1-https/1: SSL handshake failure

Apr  1 09:18:54 loadbalancer haproxy[14141]: 102.250.xx.xx:50122 [01/Apr/2019:09:18:39.314] app2-https/1: SSL handshake failure

Apr  1 09:18:54 loadbalancer haproxy[14141]: 180.102.xx.xx:31197 [01/Apr/2019:09:18:54.134] app1-https/1: SSL handshake failure

Apr  1 09:18:54 loadbalancer haproxy[14141]: 49.14.xx.xx:34075 [01/Apr/2019:09:18:54.446] app1-https/1: SSL handshake failure

Apr  1 09:18:54 loadbalancer haproxy[14141]: 172.58.xx.xx:44834 [01/Apr/2019:09:18:43.858] app1-https/1: SSL handshake failure

Apr  1 09:18:54 loadbalancer haproxy[14141]: 115.164.xx.xx:31818 [01/Apr/2019:09:18:40.680] app2-https/1: SSL handshake failure

Apr  1 09:18:54 loadbalancer haproxy[14141]: 41.190.xx.xx:15014 [01/Apr/2019:09:18:54.809] app1-https/1: SSL handshake failure

Apr  1 09:18:54 loadbalancer haproxy[14141]: 49.35.xx.xx:62348 [01/Apr/2019:09:18:50.541] app2-https/1: SSL handshake failure

Apr  1 09:18:54 loadbalancer haproxy[14141]: 49.35.xx.xx:62353 [01/Apr/2019:09:18:50.541] app2-https/1: SSL handshake failure

Apr  1 09:18:54 loadbalancer haproxy[14141]: 49.35.xx.xx:62352 [01/Apr/2019:09:18:50.541] app2-https/1: SSL handshake failure

Apr  1 09:18:54 loadbalancer haproxy[14141]: 49.35.xx.xx:62337 [01/Apr/2019:09:18:50.518] app2-https/1: SSL handshake failure

Apr  1 09:18:54 loadbalancer haproxy[14141]: 49.35.xx.xx:62351 [01/Apr/2019:09:18:50.543] app2-https/1: SSL handshake failure