HAProxy не передает заголовки с HTTPS

У меня есть проблема, которая беспокоит мои нейроны уже несколько недель, у меня есть HAProxy LB + 2 веб-сервера. Идея заключается в том, чтобы знать реальный IP-адрес компьютера, который обращается к узлу haproxy, для этого у меня есть следующая конфигурация:

LB : 10.0.0.1 - haproxy.example.test
Web1 : 10.0.0.2 - web1.example.test
Web2 : 10.0.0.3 - web2.example.test

Сертификат установлен на каждом из веб-узлов, и он работает нормально, за исключением того, что заголовки не передаются.

haproxy.cfg

global
   log /dev/log local0
   log /dev/log local1 notice
   chroot /var/lib/haproxy
   stats timeout 30s
   user haproxy
   group haproxy
   daemon

defaults
   log global
   option forwardfor
   option httplog
#   option dontlognull
   timeout connect 5000
   timeout client 50000
   timeout server 50000

frontend http_front
   bind *:80
   stats uri /haproxy?stats
   default_backend http_back

frontend https_front
   bind *:443
   default_backend https_back

backend http_back
   balance roundrobin
   mode http
   http-request add-header X-CLIENT-IP %[src]
   http-request set-header X-Request-Start t=%Ts%ms
   server web1 10.0.0.2:80 check
   server web2 10.0.0.3:80 check

backend https_back
   balance roundrobin
   mode tcp
   option forwardfor
   http-request set-header X-Forwarded-Port %[dst_port]
   http-request add-header X-Forwarded-Proto https if { ssl_fc }
   http-request set-header X-Forward-For %[src]
   http-request add-header X-CLIENT-IP %[src]
   http-request set-header X-Request-Start t=%Ts%ms
   server webs1 10.0.0.2:443 check
   server webs2 10.0.0.3:443 check

Если я обращаюсь к 10.0.0.1 (haproxy.example.test) через HTTP, я получаю ожидаемые заголовки:

HTTP_X_CLIENT_IP    65.28.121.161
HTTP_X_REQUEST_START    t=1557918661669
HTTP_X_FORWARDED_FOR    65.28.121.161

Но если я обращаюсь через HTTPS, ни один из этих заголовков не передается в Apache…

Я пробовал все и не могу разобраться, гуглил недели безуспешно. У кого-нибудь есть идея, почему это происходит?

ОБНОВЛЕНИЕ:

Спасибо за то, что направили меня на правильный путь, решение заключается в следующей конфигурации:

global
   log /dev/log local0
   log /dev/log local1 notice
   chroot /var/lib/haproxy
   stats timeout 30s
   user haproxy
   group haproxy
   daemon

defaults
   log global
   option forwardfor
   option httplog
   option dontlognull
   timeout connect 5000
   timeout client 50000
   timeout server 50000


frontend localhost
    bind *:80
    bind *:443 ssl crt /etc/haproxy/haproxy.crt
    mode http
    redirect scheme https if !{ ssl_fc }
    default_backend nodes

backend nodes
    mode http
    balance roundrobin
    option forwardfor
    option httpchk HEAD / HTTP/1.1\r\nHost:localhost
    server web01 10.0.0.2:80 check
    server web02 10.0.0.3:80 check
    http-request set-header X-Forwarded-Port %[dst_port]
    http-request add-header X-Forwarded-Proto https if { ssl_fc }

HAProxy будет Negotiировать защищенное соединение и передавать трафик как http, вместо https, на веб-серверы.

Это было основано на этой замечательной статье https://serversforhackers.com/c/using-ssl-certificates-with-haproxy

С уважением,

Хуго Феррейра

Конечная конфигурация

   log /dev/log local0
   log /dev/log local1 notice
   chroot /var/lib/haproxy
   stats timeout 30s
   user haproxy
   group haproxy
   daemon

defaults
   log global
   option forwardfor
   option httplog
   option dontlognull
   timeout connect 5000
   timeout client 50000
   timeout server 50000


frontend localhost
    bind *:80
    bind *:443 ssl crt /etc/haproxy/haproxy.crt
    mode http
    redirect scheme https if !{ ssl_fc }
    default_backend nodes

backend nodes
    mode http
    balance roundrobin
    option forwardfor
    option httpchk HEAD / HTTP/1.1\r\nHost:localhost
    server web01 10.0.0.2:80 check
    server web02 10.0.0.3:80 check
    http-request set-header X-Forwarded-Port %[dst_port]
    http-request add-header X-Forwarded-Proto https if { ssl_fc }

HAProxy будет Negotiировать защищенное соединение и передавать трафик как http, вместо https, на веб-серверы.

Это было основано на этой замечательной статье https://serversforhackers.com/c/using-ssl-certificates-with-haproxy