HAProxy Nextcloud IPS mit Suricata

[moe]

Hallo,
ich würde gerne meine Nextcloud-Instanz mittels zusätzlichen HA-Proxy schützen. Jetzt würde mich interessieren ob das auch in Kombination mit IPS möglich ist und wenn ja, wie da der HA-Proxy zu konfigurieren ist?

Die Idee im kurzem wäre, dass die Firewall (HA-Proxy) die TLS-Verbindung aufbricht und über Suricata drüberlässt und anschließend weiterleitet in Richtung Nextcloud-Instanz.
Ist das so Umsetzbar oder muss man TLS am HA-Proxy terminieren und in die DMZ unverschlüsselt gehen um Suricata arbeiten zu lassen?

Danke für eure Rückmeldungen.

mfg