HAProxy的配置

HAProxy的配置

进程及安全管理：chroot, deamon，user，group，uid，gid
	nbproc <number> ：要启动的haproxy 的进程数量，系统默认单进程，要求使用daemon 模式
	ulimit-n <number> ：每个haproxy 进程可打开的最大文件数，系统自动会指定，不建议设置
	daemon：后端方式运行，建议使用
	log ：定义全局的syslog 服务器，最多可以定义两个
		log <address> [len <length>] <facility> [max level [min level]]
	address：rsyslog 服务器地址
	len：记录日志的长度，默认我1024
日志：
	log：
		log global
		log <address> [len <length>] <facility> [<level>[<minlevel>]]
		no log
		注意：
			默认发往本机的日志服务器；
			(1) local2.* /var/log/local2.log
			(2) $ModLoad imudp
				$UDPServerRun 514
	log-format <string>：
		课外实践：参考文档实现combined
	将特定信息记录在日志中
		capture cookie <name> len <length>：
			捕获求和响应报文中的 cookie 并记录日志
		capture request header <name> len <length>：
			捕获请求报文中指定的首部并记录日志
			示例:
				capture request header X-Forwarded-For len 15
		capture response header <name> len <length>：
			捕获响应报文中指定的首部并记录日志
			示例：
				capture response header Content-length len 9
				capture response header Location len 15
性能调整：
	maxconn <number>：
		设定每个haproxy 进程所能接受的最大并发连接数
	maxconnrate <number>：
		设置每个进程每秒种所能建立的最大连接数量
	maxsessrate <number>：
		设置每个进程每秒种所能建立的最大会话数量
	maxsslconn <number>:  
		每进程支持SSL 的最大连接数量
	spread-checks <0..50, in percent> ：
		健康检测延迟时长比建议2-5
配置段
	代理配置段：
		- defaults <name>
		- frontend <name>
		- backend <name>
		- listen <name>
	Frontend 段：指定接收客户端连接侦听套接字设置
	Backend 段：指定将连接请求转发至后端服务器的相关设置
	Listen 对段：指定完整的前后端设置，只对TCP有效
	proxy 名称：使用“字母“，”数字”，“-”，“_”，“.”，“:” 并区分字符大小写
配置参数：
	bind ：指定一个或多个前端侦听地址和端口
		bind [<address>]:<port_range> [, ...] [param*]
	示例：
		listen http_proxy
		bind :80,:443
		bind 10.0.0.1:10080,10.0.0.1:10443
		bind /var/run/ssl-frontend.sock user root mode 600 accept-proxy
Balance 配置
	balance ：后端服务器组内的服务器调度算法
	balance <algorithm> [ <arguments> ]
	balance url_param <param> [check_post]
	调度算法：
		roundrobin ：基于权重轮询，动态算法， 支持权重在运行时调整，支持慢启动，每个后端backend 中最多支持4095 个server
			server options：weight #
		static-rr ：基于权重轮询，静态算法，不支持权重在运行时调整及慢启动，后端主机数量无上限
		leastconn ：加权最少连接，动态算法，最少连接的后端服务器优先分配接收新连接，相同连接时轮询，推荐在较长会话的场景使用 ，例如MySQL、LDAP 等，不适合http。
		first ：根据服务器在列表中的位置，自上而下进行调度，前面服务器的连接数达到上限，新请求才会分配给下一台服务
		source ：源地址hash ，新连接先按权重分配，后续连接按source 分配请求
	uri：
		对URI 的左半部分或整个uri 做hash 计算，并除以服务器总权重取模，以后派发至某挑出的服务器, 适用于后端缓存服务器
			<scheme>://<user>:<password>@<host>:<port>/<path>;<params>?<query>#<frag>
		左半部分：/<path>;<params>
		整个uri ：/<path>;<params>?<query>#<frag>
	url_param：
		对用户请求的uri 中的<params> 部分中的参数的值作hash 计算，并由服务器总权重相除以后派发至某挑出的服务器，通常用于追踪用户，以确保来自同一个用户的请求始终发往同一个Backend Server
	hdr(<name>) ：
		对于每个http 请求，此处由<name> 指定的http首部将会被取出做hash计算，并由服务器总权重相除以后派发至某挑出的服务器，无有效值的会被轮询调度。
			hdr(Cookie)
	rdp-cookie 远程桌面相关
	rdp-cookie(<name>)
哈希算法（hash）
	hash-type ：
		hash-type <method> <function> <modifier>
		method:
			map-based ：除权取余法，哈希数据结构是静态数组
			consistent ：一致性哈希，哈希数据结构是一棵树
			<function> :  哈希函数
				sdbm djb2 wt6
	default_backend <backend>
		无use_backend匹配时，使用默认的backend ，用于frontend中
	default-server [param*]
		为backend 中的各server设定默认选项

后端配置：
	server <name> <address>[:[port]] [param*]
		定义后端主机的各服务器及其选项
		server <name> <address>[:port] [settings ...]
		default-server [settings ...]
		<name> ：服务器在haproxy 上的内部名称；出现在日志及警告信息
		<address> ：服务器地址，支持使用主机名
		[:[port]] ：端口映射；省略时，表示同bind 中绑定的端口
		[param*] ：参数
			weight <weight> ：权重，默认为1
			maxconn <maxconn> ：当前后端server 的最大并发连接数
			backlog <backlog> ：当server 的连接数达到上限后的后援队列长度
			backup ：设定当前server 为备用服务器Sorry Server
健康状态检测
	check ：对当前server 做健康状态检测，只用于四层检测
		注意：httpchk，“smtpchk”, “mysql-check”, “pgsql-check” 和“ssl-hello-chk”  用于定义应用层检测方法
		addr：检测时使用的IP地址
		port：针对此端口进行检测
		inter <delay> ：检测之间的时间间隔，默认为2000ms
		rise <count> ：连续多少次检测结果为“成功”才标记服务器为可用；默认为2
		fall <count> ：连续多少次检测结果为“失败”才标记服务器为不可用；默认为3
	disabled ：标记为不可用
	redir <prefix> ：将发往此server 的所有GET 和HEAD 类的请求重定向至指定的URL
	对后端服务器做http 协议健康状态检测：通常用于bendend
		option httpchk 默认为：/ OPTIONS HTTP/1.0
		option httpchk <uri>
		option httpchk <method> <uri>
		option httpchk <method> <uri> <version>
			定义基于http 协议的7 层健康状态检测机制
		http-check expect [!] <match> <pattern>
			http 协议健康 状态检测
	
cookie 配置
	cookie <value> ：为当前server 指定cookie 值，实现基于cookie 的会话黏性
	cookie <name> [ rewrite | insert | prefix ] [ indirect ][ nocache ] [ postonly ] [ preserve ] [ httponly ] [secure ] [ domain <domain> ]* [ maxidle <idle> ] [maxlife <life> ]
		<name>：cookie 名称，用于实现持久连接
		rewrite ：重写
		insert ：插入
		prefix：前缀
	示例：
		基于cookie 的session sticky 的实现：
		backend websrvs
			cookie WEBSRV insert nocache
			server srv1 172.16.100.6:80 weight 2 check rise 1 fall 2 maxconn 3000 cookie srv1
			server srv2 172.16.100.7:80 weight 1 check rise 1 fall 2 maxconn 3000 cookie srv2
统计接口启用的相关参数
	stats enable
		启用统计页；基于默认的参数启用stats page
			- stats uri : /haproxy?stats uri 默认值
			- stats realm : HAProxy Statistics
			- stats auth : no authentication
	stats uri <prefix>
		自定义stats page uri, 默认为
	stats auth <user>:<passwd>
		认证时的账号和密码，可使用多次
	stats realm <realm>
		认证时的realm
	stats hide-version
		隐藏 版本
	stats refresh <delay>
		设定自动刷新时间间隔
	stats admin { if | unless } <cond>
		启用stats page 中的管理功能
	配置示例：
		listen stats
			bind :9999
			stats enable
			stats realm HAPorxy Stats Page
			stats auth admin1:password1
			stats auth admin1:password2
			stats refresh 3s
			stats admin if TRUE
工作模式
	maxconn <conns> ：为指定的frontend 定义其最大并发连接数，默认为3000
	mode { tcp|http|health }
		定义haproxy 的工作模式
		tcp ：基于layer4 实现代理，可代理mysql, pgsql, ssh,ssl 等协议，https 时使用此模式，默认模式
		http ：仅当代理协议为http 时使用,centos 实际默认模式
		health ：工作为健康状态检查的响应模式，当连接请求到达时回应“OK”
	tcp模式示例：
		listen ssh
			bind :22022
			balance leastconn
			mode tcp
			server sshsrv1 172.16.100.6:22 check
			server sshsrv2 172.16.100.7:22 check


forwardfor 配置
	option forwardfor [ except <network> ] [ header <name> ][ if-none ]
		在由haproxy 发往后端主机的请求报文中添加“X-Forwarded-For” 首部，其值为前端客户端的地址；用于向后端主发送真实的客户端IP。
		[ except <network> ] ：请求报文来自此处指定的网络时不予添加此首部，如haproxy 自身所在网络
		[ header <name> ] ：使用自定义的首部名称，而非“X-Forwarded-For”
		[ if-none ] 如果没有首部才添加首部，如果有使用默认值
	为指定的MIME 类型启用压缩传输功能
		compression algo <algorithm> ... ：启用http 协议的压缩机制，指明压缩算法gzip, deflate
		compression type <mime type> ... ：指明压缩的MIMI
错误页配置
	 errorfile <code> <file>  自定义错误页
		<code> ：HTTP status code.
			支持200, 400, 403, 408, 500, 502, 503, 504.
		<file> ：错误页文件路径
	示例：
		errorfile 400 /etc/haproxy/errorfiles/400badreq.http
		errorfile 408 /dev/null # workaround Chrome pre-connect bug
		errorfile 403 /etc/haproxy/errorfiles/403forbid.http
		errorfile 503 /etc/haproxy/errorfiles/503sorry.http
	errorloc <code> <url>
		相当于errorloc302 <code> <url> ，利用302 重定向至指URL errorloc 503 http://www.magedu.com/error_pages/503.html
修改报文首部
	在请求报文尾部添加指定首部
		reqadd <string> [{if | unless} <cond>]
	在响应报文尾部添加指定首部
		rspadd <string> [{if | unless} <cond>]
		示例：rspadd X-Via: HAPorxy
	从请求报文中删除匹配正则表达式的首部
		reqdel <search> [{if | unless} <cond>]
		reqidel <search> [{if | unless} <cond>]  不分大小写
	从响应报文中删除匹配正则表达式的首部
		rspdel <search> [{if | unless} <cond>]
		rspidel <search> [{if | unless} <cond>]  不分大 小写
		示例： rspidel server.*
连接超时
	timeout client <timeout>
		客户端最长空闲连接超时时长  默认单位是毫秒
	timeout server <timeout>
		后端服务器最长空闲连接超时时长
	timeout http-keep-alive <timeout>
		持久连接的持久时长
	timeout http-request <timeout>
		一次完整的HTTP 请求的最大等待时长
	timeout connect <timeout>
		成功连接后端服务器的最大等待时长
	timeout client-fin <timeout>
		客户端 半连接的空闲时长
	timeout server-fin <timeout>
		后端服务器半连接的空闲时
ACL
	acl：
		访问控制列表（ACL ）的使用提供了一个灵活的解决方案来执行内容交换，并且通常基于从请求中提取的内容、响应或任何环境状态进行决策。
	acl <aclname> <criterion> [flags] [operator] [<value>] ...
		<aclname>：ACL 名称，可使用字母数字 : . - _区分字符大小写
		<criterion>：比较的标准和条件
	<value> 的类型：
		- boolean
		- integer or integer range
		- IP address / network
		- string (exact, substring, suffix, prefix, subdir,domain)
		- regular expression
		- hex block
	<flags>
		-i  不区分大小写
		-m  使用指定的pattern 匹配方法
		-n  不做DNS 解析
		-u  强制每个ACL 必须 唯一ID ，否则多个同名ACL或关系
		--  强制flag 结束.  当字符串和某个flag 相似时使用
	[operator]
		匹配整数值：eq 、ge 、gt 、le 、lt
		匹配字符串：
			- exact match (-m str) : 字符串必须完全匹配模式
			- substring match (-m sub) : 在提取的字符串中查找模式，如果其中任何一个被发现，ACL将匹配
			- prefix match (-m beg) : 在提取的字符串首部中查找模式，如果其中任何一个被发现，ACL将匹配
			- suffix match (-m end) : 将模式与提取字符串的尾部进行比较，如果其中任何一个匹配，则ACL 进行匹配
			- subdir match (-m dir) : 查看提取 出来的用斜线分隔（“ “/” ）的字符串， 如果其中任何一个匹配，则ACL 进行匹配
			- domain match (-m dom) : 查找提取的用点（“.” ）分隔字符串，如果其中任何一个匹配，则ACL 进行匹配
	 acl 作为条件时的逻辑关系：
		-  与：隐式（默认）使用
		-  或：使用“or” 或“||” 表示
		-  否定：使用“!“  表示
		示例： 
			if invalid_src invalid_port 与关系
			if invalid_src || invalid_port 或
			if ! invalid_src 非
	<criterion> ：各种条件
		dst              目标IP
		dst_port      目标PORT
		src               源IP
		src_port       源PORT
		示例：acl invalid_src src 172.16.100.200
	base : string
		返回第一个主机头和请求的路径部分的连接，该请求从第一个斜杠开始，并在问号之前结束, 对虚拟主机有用
		<scheme>://<user>:<password>@<host>:<port>/<path>;<params>?<query>#<frag>
			base : exact string match
			base_beg : prefix match
			base_dir : subdir match
			base_dom : domain match
			base_end : suffix match
			base_len : length match
			base_reg : regex match
			base_sub : substring match
	path : string
		提取请求的URL 路径，该路径从第一个斜杠开始，并在问号之前结束（无主机部分）
		<scheme>://<user>:<password>@<host>:<port>/<path>;<
			params>?<query>#<frag>
			path : exact string match
			path_beg : prefix match
			path_dir : subdir match
			path_dom : domain match
			path_end : suffix match
			path_len : length match
			path_reg : regex match
			path_sub : substring match
	url : string
		提取请求中的URL，一个典型的应用是具有预取能力的缓存，以及需要从数据库聚合多个信息并将它们保存在缓存中的网页门户 入口
			url : exact string match
			url_beg : prefix match
			url_dir : subdir match
			url_dom : domain match
			url_end : suffix match
			url_len : length match
			url_reg : regex match
			url_sub : substring match
	req.hdr([<name>[,<occ>]]) : string
		提取在一个HTTP 请求报文的首部
		hdr([<name>[,<occ>]]) : exact string match
		hdr_beg([<name>[,<occ>]]) : prefix match
		hdr_dir([<name>[,<occ>]]) : subdir match
		hdr_dom([<name>[,<occ>]]) : domain match
		hdr_end([<name>[,<occ>]]) : suffix match
		hdr_len([<name>[,<occ>]]) : length match
		hdr_reg([<name>[,<occ>]]) : regex match
		hdr_sub([<name>[,<occ>]]) : substring match
		示例：
			acl bad_curl hdr_sub(User-Agent) -i curl
			block if bad_curl
	status : integer
		返回在响应报文中的状态码
	
	预定义ACL
		ACL名称 	等价于 	说明
		TRUE 	always_true 	总是匹配
		FALSE 	always_false 	从不匹配
		HTTP 	req_proto_http 	匹配HTTP 协议
		HTTP_1.0 	req_ver 1.0 	匹配HTTP 协议1.0
		HTTP_1.1 	req_ver 1.1 	匹配HTTP 协议1.1
		HTTP_CONTENT 	hdr_val(content-length) gt 0  	匹配已存在内容长度
		HTTP_URL_ABS 	url_reg ^[^/:]*:// 	匹配URL 绝对路径
		HTTP_URL_SLASH	url_beg / 	匹配URL 相对路径
		HTTP_URL_STAR 	url * 	匹配 URL 于 等于 "*"
		LOCALHOST	 src 127.0.0.1/8	 匹配从localhost 来的连接
		METH_CONNECT	 method CONNECT 	匹配HTTP CONNECT
		METH_GET	 method GET HEAD 	match HTTP GET or HEAD method
		METH_HEAD 	method HEAD 	match HTTP HEAD method
		METH_OPTIONS 	method OPTIONS 	match HTTP OPTIONS method
		METH_POST 	method POST 	match HTTP POST method
		METH_TRACE 	method TRACE 	match HTTP TRACE method
		RDP_COOKIE 	req_rdp_cookie_cnt gt 0 	match presence of an RDP cookie
		REQ_CONTENT 	req_len gt 0 	match data in the request buffer
		WAIT_ENDwait_end 	wait for end of content analysis	
	
	配置
		use_backend <backend> [{if | unless} <condition>]
			当if/unless 一个基于ACL 的条件匹配时切换指定backend
		block { if | unless } <condition>
			阻止7 层请求if/unless 一个条件匹配
			示例：
				acl invalid_src src 172.16.200.2
				block if invalid_src
				errorfile 403 /etc/fstab
		http-request { allow | deny |add-header <name> <fmt>|set-header <name> <fmt> } [ { if | unless }<condition> ]
			对7 层请求的访问控制
		 tcp-request connection {accept|reject} [{if | unless}<condition>]
			根据第4 层条件对传入连接执行操作
			示例：
				listen ssh
				bind :22222
				mode tcp
				balance leastconn
				acl invalid_src src 172.16.0.200
				tcp-request connection reject if invalid_src
				server sshsrv1 192.168.1.101:22 check
				server sshsrv2 192.168.1.102:22 check backup
	
	基于ACL 的动静分离示例
		frontend web *:80
			acl url_static path_beg -i /static /images /javascript/stylesheets
			acl url_static path_end -i .jpg .gif .png .css .js .html .txt .htm
			use_backend  staticsrvs if url_static
			default_backend appsrvs
		backend staticsrvs
			balance roundrobin
			server stcsrv1 172.16.100.6:80 check
		backend appsrvs
			balance roundrobin
			server app1 172.16.100.7:80 check
			server app1 172.16.100.7:8080 check
		listen stats
			bind :9091
			stats enable
			stats auth admin:admin
			stats admin if TRUE
		
支持https 协议
	配置HAProxy 支持https 协议：
	支持ssl 会话；
		bind *:443 ssl crt /PATH/TO/SOME_PEM_FILE
		crt  后证书文件为PEM 格式，且同时包含证书和所有私钥
		cat demo.crt demo.key > demo.pem
	把80 端口的请求重向定443
		bind *:80
		redirect scheme https if !{ ssl_fc }
	向后端传递用户请求的协议和端口（frontend 或backend） ）
		http_request set-header X-Forwarded-Port%[dst_port]
		http_request add-header X-Forwared-Proto https if { ssl_fc }