У нас до маразма доходит:
Есть внешняя сетка (external), которая резолвит урлы в контроллеры и прокси. На контроллерах и проксях правила, если запрос по http, то переводить в https. То есть, грубо, на entrypoints запрос уже пришел по https.
Есть внутренняя сетка для приложений. Контроллеры так же про них знают, знают что и куда роутить.
Так вот маразм в том, что внутренние соединения должны так же по https работать. Хотя сеть полностью изолирована.