HAProxy.md
HAProxy
代理http
1、正向代理
2、反向代理
代理作用：web缓存（加速）、反向代理、内容路由（根据流量及内容类型等将请求转发至特定服务器）、转码器；
在代理服务器上添加Via首部；
缓存的作用：
1、减少冗余内容传输：
2、节省带宽、缓解网络瓶颈；
3、降低了对原始服务器的请求压力：
4、降低了传输延迟：
HAProxy：只是http协议的反向代理，不提供缓存功能：但额外支持对tcp层对基于tcp通信的应用做LB：
yum install haproxy -y
rpm -ql haproxy
/etc/haproxy/haproxy.cfg
/usr/sbin/haproxy
......
haproxy 配置中分成五部分内容，分别如下：
1、global：参数是进程级的，通常是和操作系统相关。这些参数一般只设置一次，如果配置无误，就不需要再次进行修改；
2、defaults：配置默认参数，这些参数可以被用到 frontend，backend，Listen 组件；
3、frontend：接收请求的前端虚拟节点，Frontend 可以更加规则直接指定具体使用后端的 backend；
4、backend：后端服务集群的配置，是真实服务器，一个 Backend 对应一个或者多个实体服务器；
5、Listen Fronted 和 backend 的组合体。
HAProxy 配置文件详解
进程管理及安全相关的参数
- chroot
：修改haproxy的工作目录至指定的目录并在放弃权限之前执行chroot（）操作，可以提升haproxy的安全级别，不过需要注意的是要确保指定的目录为空目录且任何用户均不能有写权限；
-daemon:i让haproxy以守护进程的方式工作于后台，其等同于“-D”选项的功能，当然，也可以在命令行中以“-db”选项将其禁用；gid：以指定的GID运行haproxy，建议使用专用于运行haproxy的GID，以免因权限问题带来风险： - group
：同gid，不过指定的组名： - log
[max level[min level]]：定义全局的syslog服务器，最多可以定义两个： - log-send-hostname[
]：在syslog信息的首部添加当前主机名，可以为“string”指定的名称，也可以缺省使用当前主机名； - nbproc
：指定启动的haproxy进程的个数，只能用于守护进程模式的haproxy；默认只启动一个进程，鉴于调试困难等多方面的原因，一般只在单进程仅能打开少数文件描述符的场景中才使用多进程模式： - pidfile：
- uid：以指定的UI0身份运行haproxy进程：
- ulimit-n：设定每进程所能够打开的最大文件描述符数目，默认情况下其会自动进行计算，因此不推荐修改此选项；user：同uid，但使用的是用户名：
- stats：
- node：定义当前节点的名称，用于HA场景中多haproxy进程共享同一个IP地址时；
- description：当前实例的描述信息：
性能调整相关的参数
- maxconn
：设定每个haproxy进程所接受的最大并发连接数，其等同于命令行选项“-n”；“ulimit-
n”自动计算的结果正是参照此参数设定的： - maxpipes
；haproxy使用pipe完成基于内核的tcp报文重组，此选项则用于设定每进程所允许使用的最大pipe个数；每个pipe会打开两个文件描述符，因此，“ulimit-n”自动计算时会根据需要调大此值：默认为maxconn/4，其通常会显得过大： - noepoll：在Linux系统上禁用epoll机制；
- nokqueue：在BSD系统上禁用kqueue机制：
- nopoll：禁用pol1机制：
- nosepoll：在Linux禁用启发式epoll机制：
- nosplice：禁止在Linux套接字上使用内核tcp重组，这会导致更多的recv/send系统调用：不过，在Linux 2.6.25-
28系列的内核上，tcp重组功能有bug存在： - spread-checks <0..50，in percent>：在haproxy后端有着众多服务器的场景中，在精确的时间间隔后统一对众服务器进行健康状况检查可能会带来意外问题；此选项用于将其检查的时间间隔长度上增加或减小一定的随机时长；
- tune.bufsize
：设定buffer的大小，同样的内存条件下，较小的值可以让haproxy有能力接受更多的并发连接，较大的值可以让某些应用程序使用较大的cookie信息；默认为16384，其可以在编译时修改，不过强烈建议使用默认值： - tune.chksize
：设定检查缓冲区的大小，单位为字节：更大的值有助于在较大的页面中完成基于字符串或模式的文本查找，但也会占用更多的系统资源；不建议修改： - tune.maxaccept
：设定haproxy进程内核调度运行时一次性可以接受的连接的个数，较大的值可以带来较大的吞吐率，默认在单进程模式下为10e，多进程模式下为8，设定为-1可以禁止此限制：一般不建议修改： - tune.maxpollevents
：设定一次系统调用可以处理的事件最大数，默认值取决于05；其值小于2e0时可节约带宽，但会略微增大网络延迟，而大于2e0时会降低延迟，但会稍稍增加网络带宽的占用量： - tune.maxrewrite
：设定为首部重写或追加而预留的缓冲空间，建议使用1024左右的大小：在需要使用更大的空间时，haproxy会自动增加其值： - tune.rcvbuf.client
： - tune.rcvbuf.server <number）：设定内核套接字中服务端或客户端接收缓冲的大小，单位为字节；强烈推荐使用默认值；
- tune.sndbuf.client：
- tune.sndbuf.server：
Debug相关的参数
- debug
- quiet
配置文件中的关键字参考
1、balance
balance url_param [check_post[<max_wait>]]
定义负般均衡算法，可用于“defaults”、“listen”和“backend”.
- roundrobin：基于权重进行轮叫，在服务器的处理时间保持均匀分布时，这是最平衡、最公平的算法。此算法是动态的，这表示其权重可以在运行时进行调整，不过，在设计上，每个后端服务器仅能最多接受4128个连接：
- static-rr：基于权重进行轮叫，与roundrobin类似，但是为静态方法，在运行时调整其服务器权重不会生效；不过，其在后端服务器连接数上没有限制：
- leastconn：新的连接请求被派发至具有最少连接数目的后端服务器；在有着较长时间会话的场景中推荐使用此算法，如LDAP、S0L等，其并不太适用于较短会话的应用层协议，如Hmp：此算法是动态的，可以在运行时调整其权重：
- source：将请求的源地址进行hash运算，并由后端服务器的权重总数相除后派发至某匹配的服务器：这可以使得同一个客户端IP的请求始终被派发至某特定的服务器；不过，当服务器权重总数发生变化时，如某服务器岩机或添加了新的服务器，许多客户端的请求可能会被派发至与此前请求不同的服务器；常用于负载均衡无cookie功能的基于TCP的协议；其默认为静态，不过也可以使用hash-type修改此特性；uri：对URI的左半部分（“问题”标记之前的部分）或整个URI进行hash运算，并由服务器的总权重相除后派发至某匹配的服务器：这可以使得对同一个URI的请求总是被派发至某特定的服务器，除非服务器的权重总数发生了变化：此算法常用于代理缓存或反病毒代理以提高缓存的命中率：需要注意的是，此算法仅应用于HTTP后端服务器场景；其默认为静态算法，不过也可以使用hash-type修改此特性：
- url param：通过
为URL指定的参数在每个HTTP GET请求中将会被检索；如果找到了指定的参数且其通过等于号“=”被赋予了一个值，那么此值将被执行hash运算并被服务器的总权重相除后派发至某匹配的服务器：此算法可以通过追踪请求中的用户标识进而确保同一个用户ID的请求将被送往同一个特定的服务器，除非服务器的总权重发生了变化；如果某请求中没有出现指定的参数或其没有有效值，则使用轮叫算法对相应请求进行调度：此算法默认为静态的，不过其也可以使用hash-type修改此特性： - hdr（
）：对于每个HTTP请求，通过 指定的HTTP首部将会被检索：如果相应的首部没有出现或其没有有效值，则使用轮叫算法对相应请求进行调度；其有一个可选选项“use_domain_only”，可在指定检索类似Host类的首部时仅计算域名部分（比如通过wmww.magedu.
com来说，仅计算magedu字符串的hash值）以降低hash算法的运算量：此算法默认为静态的，不过其也可以使用hash-type修改此特性： - rdp-cookie
- rdp-cookie（name）：
2、bind bind [
]：<port_range> [，…]bind []：
此指令仅能用于frontend和listen区段，用于定义一个或几个监听的套接字。
<address> ：可选选项，其可以为主机名、IPv4地址、IPv6地址或*；省略此选项、将其指定为*或e.e.e.
0时，将监听当前系统的所有IPv4地址：
<port_range>：可以是一个特定的TCP端口，也可是一个端口范围（如5005-5010）
，代理服务器将通过指定的端口来接收客户端请求；需要注意的是，每组监听的套接字- - address:port
在同一个实例上只能使用一次，而且小于1024的端口需要有特定权限的用户才能使用，这可能需要通过uid参数来定义；
3、bind
bind [
bind []：<port_range>[，..interface
此指令仅能用于frontend和listen区段，用于定一个或几个监听的套接字。 ：可选选项，其可以为主机名、IPv4地址、IPv6地址或*：省略此选项、将其指定为*或e.e.e. 0时，将监听当前系统的所有IPv4地址：
4、mode
mode { tcp|http|health}
设定实例的运行模式或协议。当实现内容交换时，前端和后端必须工作于同一种模式（一般说来都是HTTP模式），否则将无法启动实例。
tcp：实例运行于纯TCP模式，在客户端和服务器端之间将建立一个全双工的连接，且不会对7层报文做任何类型的检查；此为默认模式，通常用于SSL、SSH、SMTP等应用；http：实例运行于HTTP模式，客户端请求在转发至后端服务器之前将被深度分析，所有不与RFC格式兼容的请求都会被拒绝；health：实例工作于health模式，其对入站请求仅响应“OK”信息并关闭连接，且不会记录任何日志信息；此模式将用于响应外部组件的健康状态检查请求；目前业讲，此模式已经废弃，因为tcp或http模式中的monitor关键字可完成类似功能：
4、hash-type
hash-type
定义用于将hash码映射至后端服务器的方法；其不能用于frontend区段；可用方法有map-
based和consistent，在大多数场景下推荐使用默认的map-based方法。
map-based:hash表是一个包含了所有在线服务器的静态数组。其hash值将会非常平滑，会将权重考虑在列，但其为静态方法，对在线服务器的权重进行调整将不会生效，这意味着其不支持慢速启动。此外，挑选服务器是根据其在数组中的位置进行的，因此，当一台服务器岩机或添加了一台新的服务器时，大多数连接将会被重新派发至一个与此前不同的服务器上，对于缓存服务器的工作场景来说，此方法不甚适用。
consistent:hash表是一个由各服务器填充而成的树状结构：基于hash键在hash树中查找相应的服务器时，最近的服务器将被选中。此方法是动态的，支持在运行时修改服务器权重，因此兼容慢速启动的特性。添加一个新的服务器时，仅会对一小部分请求产生影响，因此，尤其适用于后端服务器为cache的场景。不过，此算法不甚平滑，派发至各服务器的请求未必能达到理想的均衡效果，因此，可能需要不时的调整服务器的权重以获得更好的均衡性。
5、log
log global
Log
为每个实例启用事件和流量日志，因此可用于所有区段。每个实例最多可以指定两个log参数，不过，如果使用了log global”且"global“段已经定了两个log参数时，多余了log参数将被忽略。
global：当前实例的日志系统参数同“global”段中的定义时，将使用此格式：每个实例仅能定义一次1。g global”语句，且其没有任何额外参数： ：定义日志发往的位置，其格式之一可以为
6、maxconn
maxconn
设定一个前端的最大并发连接数，因此，其不能用于backend区段。对于大型站点来说，可以尽可能提高此值以便让haproxy管理连接队列，从而避免无法应答用户请求。当然，此最大值不能超出“global”段中的定义。此外，需要留心的是，haproxy会为每个连接维持两个缓冲，每个缓冲的大小为8KB，再加上其它的数据，每个连接将大约占用17KB的RAM空间。这意味着经过适当优化后，有着1GB的可用RAM空间时将能维护40000-50000并发连接。
如果为
7、default_backend
default backend
在没有匹配的“usebackend"规则时为实例指定使用的默认后端，因此，其不可应用于backend区段。在“frontend“和“backend“之间进行内容交换时，通常使用“use-backend"定义其匹配规则；而没有被规则匹配到的请求将由此参数指定的后端接收。
使用案例：
use backend dynamic if url_dyn use_backend static if url_css url_img extension_img default backend dynamic
9、server
server
后端声明一个server，因此，不能用于defaults和frontend区段。
name"，它还将被添加至发往此服务器的请求首部中：
检查方法：
检查方法：
option httpchk
option httpchk <uri>
option httpchk <method><uri>
option httpchk<method><uri><version>：不能用于frontend段，例如：
backend https_relay
mode tcp
option httpchk OPTIONS*HTTP/1.1\r\nHost:\www.test.com
server apache1 192.168.1.1:443 check port 80
使用案例：
server first 192.168.200.100:1080 cookie first check inter 1000
server second 192.168.200.101:1080 cookie second check inter 1000
10、stats enable
启用基于程序编译时默认设置的统计报告，不能用于“frontend”区段。只要没有另外的其它设定，它们就会使用如下的配置：
-stats uri:/haproxy?stats
-stats realm:"HAProxy Statistics"
-stats auth:no authentication
-stats scope:no restriction
尽管“stats enable”一条就能够启用统计报告，但还是建议设定其它所有的参数，以免其依赖于默认设定而带来非期后果。下面是一个配置案例。
backend public_www
server websrv1 172.16.100.11:80
stats enable
stats hide-version
stats scope
stats uri /haproxyadmin?stats
stats realm Haproxy\ Statistics
stats auth statsadmin:password
stats auth statsmaster:password
11、stats hide-version
stats hide-version启用统计报告并隐藏HAProxy版本报告，不能用于“frontend”区段。默认情况下，统计页面会显示一些有用信息，包括HAProxy的版本号，然而，向所有人公开HAProxy的精确版本号是非常有风险的，因为它能帮助恶意用户快速定位版本的缺陷和漏洞。尽管"stats hide-
version”一条就能够启用统计报告，但还是建议设定其它所有的参数，以免其依赖于默认设定而带来非期后果。具体请参照“stats enable”一节的说明。
12、stats admin
stats admin{if |unless}
在指定的条件满足时启用统计报告页面的管理级别功能，它允许通过web接口启用或禁用服务器，不过，基于安全的角度考虑，统计报告页面应该尽可能为只读的。此外，如果启用了HAProxy的多进程模式，启用此管理级别将有可能导致异常行为。
目前来说，POST请求方法被限制于仅能使用缓冲区减去保留部分之外的空间，因此，服务器列表不能过长，否则，此请求将无法正常工作。
因此，建议一次仅调整少数几个服务器。下面是两个案例，第一个限制了仅能在本机打开报告页面时启用管理级别功能，第二个定义了仅允许通过认证的用户使用管理级别功能。
backend stats_localhost
stats enable
stats admin if LOCALHOST
backend stats_auth
stats enable
stats auth haproxyadmin:password
stats admin if TRUE
13、capture request header
capture request header
捕获并记录指定的请求首部最近一次出现时的第一个值，仅能用于“frontend”和“listen”区段。捕获的首部值使用花括号{}括起来后添加进日志中。如果需要捕获多个首部值，它们将以指定的次序出现在日志文件中，并以竖线1”作为分隔符。不存在的首部记录为空字符串，最常需要捕获的首部包括在虚拟主机环境中使用的“Host”、上传请求首部中的“Content-1ength”、快速区别真实用户和网络机器人的User-
agent”，以及代理环境中记录真实请求来源的“X-Forward-For”。
<1length>：指定记录首部值时所记录的精确长度，超出的部分将会被忽略。
可以捕获的请求首部的个数没有限制，但每个捕获最多只能记录64个字符。为了保证同一个frontend中日志格式的统一性，首部捕获仅能在f rontend中定义。
14、capture response header
capture response header
捕获并记录响应首部，其格式和要点同请求首部。
15、option httplog
option httplog [ clf ]
启用记录HTTP请求、会话状态和计时器的功能。
clf：使用CLF格式来代替HAProxy默认的HTTP格式，通常在使用仅支持CLF格式的特定日志分析器时才需要使用此格式。
默认情况下，日志输入格式非常简陋，因为其仅包括源地址、目标地址和实例名称，而“option httplog”参数将会使得日志格式变得丰富许多，其通常包括但不限于HTTP请求、连接计时器、会话状态、连接数、捕获的首部及cookie、“frontend”、“backend”及服务器名称，当然也包括源地址和端口号等。
16、option logasap
no option logasap
option logasap
no option logasap
启用或禁用提前将HTTP请求记入日志，不能用于“backend”区段。
默认情况下，HTP请求是在请求结束时进行记录以便能将其整体传输时长和字节数记入日志，由此，传较大的对象时，其记入日志的时长可能会略有延迟。option
1ogasap”参数能够在服务器发送complete首部时即时记录日志，只不过，此时将不记录整体传输时长和字节数。此情形下，捕获“Content-
Length”响应首部来记录传输的字节数是一个较好选择。下面是一个例子。
listen http_proxy 0.0.0.0:80
mode http
option httplog
option logasap
1og 172.16.100.9 loca12
17、option forwardfor
option forwardfo \ [except
允许在发往服务器的请求首部中插入“X-Forwarded-For”首部。
For”。有些独特的web服务器的确需要用于一个独特的首部。
if-none：仅在此首部不存在时才将其添加至请求报文问道中。
HAProxy工作于反向代理模式，其发往服务器的请求中的客户端IP均为HAProxy主机的地址而非真正客户端的地址，这会使得服务器端的日志信息记录不了真正的请求来源，“X-Forwarded-
For”首部则可用于解决此问题。HAProxy可以向每个发往服务器的请求上添加此首部，并以客户端IP为其value.
需要注意的是，HAProxy工作于隧道模式，其仅检查每一个连接的第一个请求，因此，仅第一个请求报文被附加此首部。如果想为每一个请求都附加此首部，请确保同时使用了“option httpclose”、“option forceclose”和“option http-server-close”几个option.
下面是一个例子。
frontend www
mode http
option forwardfor except 127.0.0.1
18、errorfile
errorfile
在用户请求不存在的页面时，返回一个页面文件给客户端而非由haproxy生成的错误代码；可用于所有段中。
：指定对HTTP的哪些状态码返回指定的页面：这里可用的状态码有200、400、403、408、500、502、503和5e4；
例如：
errorfile 400/etc/haproxy/errorpages/400badreq.httperrorfile 403 /etc/haproxy/errorpages/403forbid.http errorfile
503 /etc/haproxy/errorpages/503sorry.http
19、errorloc和errorlog302
errorloc
errorloc302
请求错误时，返回一个HTTP重定向至某URL的信息；可用于所有配置段中。
：指定对HTTP的哪些状态码返回指定的页面：这里可用的状态码有200、400、403、408、500、502、503和504；
：Location首部中指定的页面位置的具体路径，可以是在当前服务器上的页面的相对路径，也可以使用绝对路径；需要注意的是，如果URI自身错误时产生某特定状态码信息的话，有可能会导致循环定向：
需要留意的是，这两个关键字都会返回302状态吗，这将使得客户端使用同样的HTTP方法获取指定的URL，对于非GET法的场景（如POST）来说会产生问题，因为返回客户的URL是不允许使用GET以外的其它方法的。如果的确有这种问题，可以使用errorloc303来返回303状态码给客户端
20、errorlog303
errorloc303
请求错误时，返回一个HTTP重定向至某URL的信息给客户端；可用于所有配置段中。
：指定对HTTP的哪些状态码返回指定的页面；这里可用的状态码有400、403、408、500、502、503和504；
：Location首部中指定的页面位置的具体路径，可以是在当前服务器上的页面的相对路径，也可以使用绝对路径：需要注意的是，如果URI自身错误时产生某特定状态码信息的话，有可能会导致循环定向：
例如
backend webserver
server 172.16.100.6 172.16.100.6:80 check maxconn 3000 cookie srve1
server 172.16.100.7 172.16.100.7:80 check maxconn 3000 cookie srve2
errorloc 403 /etc/haproxy/errorpages/sorry.htm
errorloc 503 /etc/haproxy/errorpages/sorry.htm
ACL
haproxy的ACL用于实现基于请求报文的首部、响应报文的内容或其它的环境状态信息来做出转发决策，这大大增强了其配置弹性。其配置法则通常分为两步，首先去定义ACL，即定义一个测试条件，而后在条件得到满足时执行某特定的动作，如阻止请求或转发至某特定的后端。定义ACL的语法格式如下。
acl <aclname><criterion>[flags][operator]<value>..
<aclname>：ACL名称，区分字符大小写，且其只能包含大小写字母、数字、-（连接线）、（下划线）、.（点号）和：（冒号）
：haproxy中，ac1可以重名，这可以把多个测试条件定义为一个共同的ac1：
<criterion>：测试标准，即对什么信息发起测试；测试方式可以由[flags]指定的标志进行调整；而有些测试标准也可以需要为其在<
value>之前指定一个操作符[operator]：
[flags]：目前haproxy的ac1支持的标志位有3个：
-i：不区分<value>中模式字符的大小写：
-f：从指定的文件中加载模式：
-：标志符的强制结束标记，在模式中的字符串像标记符时使用：
<value>：ac1测试条件支持的值有以下四类：
整数或整数范围：如1024：65535表示从1024至65535；仅支持使用正整数（如果出现类似小数的标识，其为通常为版本测试）
，且支持使用的操作符有5个，分别为eq、ge、gt、le和lt；字符串：支持使用“-i”以忽略字符大小写，支持使用“\”进行转义；如果在模式首部出现了-i，可以在其之前使用“--”标志位；正则表达式：其机制类同字符串匹配：
IP地址及网络地址
同一个ac1中可以指定多个测试条件，这些测试条件需要由逻辑操作符指定其关系。条件间的组合测试关系有三种：“与”（默认即为与操作）
、“或”（使用“I1”操作符）以及“非”（使用“！”操作符）。
常用的测试标准（criteria）
1、be_sess_rate
be_sess_rate（backend）
用于测试指定的backend上会话创建的速率（即每秒创建的会话数）是否满足指定的条件：常用于在指定backend上的会话速率过高时将用户请求转发至另外的backend，践用于阻止攻击行为。例如：
backend dynamic
mode http
acl being scanned be_sess rate gt 50
redirect location /error_pages/denied.html if being_scanned
2、fe_sess_rate（frontend）
fe_sess_rate（frontend）
用于测试指定的frontend（或当前frontend）上的会话创建速率是否满足指定的条件：常用于为frontend指定一个合理的会话创建速率的上限以防止服务被滥用。例如下面的例子限定入站邮件速率不能大于50封/秒，所有在此指定范围之外的请求都将被延时50毫秒。
frontend mail
bind :25
mode tcp
maxconn 500
ac1 too_fast fe_sess_rate ge 50
tcp-request inspect-delay 500ms
tcp-request content accept if ！too_fast
tcp-request content accept if WAIT_END
3、hdr
hdr（header）
用于测试请求报文中的所有首部或指定首部是否满足指定的条件：指定首部时，其名称不区分大小写，且在括号“（）
”中不能有任何多余的空白字符。测试服务器端的响应报文时可以使用shdr（）。例如下面的例子用于测试首部Connection的值是否为close。
hdr（Connection）-i close
4 、method
method
测试HTTP请求报文中使用的方法。
5、path_beg
用于测试请求的URL是否以指定的模式开头。下面的例子用于测试URL是否以/static、/images、/javascript或/stylesheets头。
acl url_static path_beg -i /static /images /javascript /stylesheets
6、path_end
用于测试请求的URL是否以指定的模式结尾。例如，下面的例子用户测试URL是否以jpg、gif、png、css或js结尾。
ac1 url_static path_end-i .jpg .gif .png .css .js
7、hdr_beg
用于测试请求报文的指定首部的开头部分是否符合
指定的模式。例如，下面的例子用记测试请求是否为提供静态内容的主机img、video、download或ftp。
acl host_static hdr_beg（host）-i img. video. download. ftp.
8、hdr_end <string>
用于测试请求报文的指定首部的结尾部分是否符合指定的模式。例如，下面的例子用记测试请求是否为
url_beg:
url_end:
path_reg
url_reg
动静分离示例
global
1og 127.0.0.1 local2
chroot /var/1ib/haproxy
pidfile /var/run/haproxy.pid
maxconn 4000
user haproxy
group haproxy
daemon
# turn on stats unix socket
stats socket /var/1ib/haproxy/stats
defaults
mode http
log global
option httplog
option dontlognull
option http-server-close
option forwardfor except 127.0.0.0/8
option redispatch
retries 3
timeout http-request 10s
timeout queue1m timeout connect 10s
timeout client 1m
timeout server 1m
timeout http-keep-alive 10s
timeout check 10s
maxconn 3000
listen stats
mode http
bind 0.0.0.0:2333
stats enable #显示状态页面
stats hide-version #隐藏haproxy的版本号
stats uri /haproxyadmin?stats #修改URI路径
stats realm Haproxy\ Statistics #提示信息
stats auth admin:admin#登录状态页面的帐号和密码
stats admin if TRUE
frontend http-in
bind *:80
mode http
log global option httpclose
option logasap
option dontlognull
capture request header Host len 20
capture request header Referer len 60
acl uf1_static path_beg -i /static /images /javascript /stylesheets
ac1 url_static path_end-i .jpg .jpeg .gif .png .css .js use_backend static_servers if url_static
default_backend dynamic_servers
backend static_servers
balance roundrobin
server imgsrvl 172.16.200.7:80 check maxconn 6000
server imgsrv2 172.16.200.8:80 check maxconn 6000
backend dynamic_servers
cookie srv insert nocache
balance roundrobin
server websrv1 172.16.200.7:80 check maxconn 1000 cookie websrv1
server websrv2 172.16.200.8:80 check maxconn 1000 cookie websrv2
server websrv3 172.16.200.9:80 check maxconn 1000 cookie websrv3
ACL 定义，及调用
参考：http://cbonte.github.io/haproxy-dconv/configuration-1.4.html#4-redirect
开放策略：拒绝所有，只开放已知
拒绝策略：允许所有，只拒绝某些
acl clear dst_port 80
acl secure dst_port 8080
acl login page url_beg/login #如果 url 的地址，除了主机名之外是 login 的页面则定义成 logon，如果是登录页面却又属于不安全的连接 那么
acl logout url_beg/logout
acl uid given url_reg/login？userid=[^&]+ #取得 cookie 的子串，如果没有 cookie 则：
acl cookie_set hdr_sub（cookie）SEEN=1
redirect prefix https://test.com set-cookie SEEN=1 if !cookie_set #如果定义的第一个用户来访问我们的站点的时候，没有被设置 cookie 在将用户的请求转为 https
redirect prefix https://test.com if login_page !secure
redirect prefix http://test.com drop-query if login_page !uid_given
Iredirect location，http:/test.com/if !login_page secure
redirect location / clear-cookie USERID= if logout
我们自定定义一个 acl
如果访问的是 / bbs 开头的地址，那么将其跳转到 / forum
acl bbs url_beg /bbs
redirect /forum if /bbs #if 判断是否匹配 / bbs 如果匹配则将 / bbs 跳转至 / forum
示例
haproxy 192.168.200.102
web1 192.168.200.107
web2 192.168.200.106
1、基于cookie实现会话绑定：
haproxy
yum install haproxy -y
cp /etc/haproxy/haproxy.cfg{,.bak}
vim /etc/haproxy/haproxy.cfg
#---------------------------------------------------------------------
# Example configuration for a possible web application. See the
# full configuration options online.
#
# http://haproxy.1wt.eu/download/1.4/doc/configuration.txt
#
#---------------------------------------------------------------------
#---------------------------------------------------------------------
# Global settings
#---------------------------------------------------------------------
global
# to have these messages end up in /var/log/haproxy.log you will
# need to:
#
# 1) configure syslog to accept network log events. This is done
# by adding the '-r' option to the SYSLOGD_OPTIONS in
# /etc/sysconfig/syslog
#
# 2) configure local2 events to go to the /var/log/haproxy.log
# file. A line like the following can be added to
# /etc/sysconfig/syslog
#
# local2.* /var/log/haproxy.log
#
log 127.0.0.1 local2
chroot /var/lib/haproxy
pidfile /var/run/haproxy.pid
maxconn 4000
user haproxy
group haproxy
daemon
# turn on stats unix socket
stats socket /var/lib/haproxy/stats
#---------------------------------------------------------------------
# common defaults that all the 'listen' and 'backend' sections will
# use if not designated in their block
#---------------------------------------------------------------------
defaults
mode http
log global
option httplog
option dontlognull
option http-server-close
option forwardfor except 127.0.0.0/8
option redispatch
retries 3
timeout http-request 10s
timeout queue 1m
timeout connect 10s
timeout client 1m
timeout server 1m
timeout http-keep-alive 10s
timeout check 10s
maxconn 3000
#---------------------------------------------------------------------
# main frontend which proxys to the backends
#---------------------------------------------------------------------
frontend web:
bind *:80
acl url_static path_beg -i /static /images /javascript /stylesheets
acl url_static path_end -i .jpg .gif .png .css .js
use_backend static if url_static
default_backend webs
#---------------------------------------------------------------------
# static backend for serving up images, stylesheets and such
#---------------------------------------------------------------------
backend static
balance roundrobin
server static 127.0.0.1:4331 check
#---------------------------------------------------------------------
# round robin balancing between the various backends
#---------------------------------------------------------------------
backend webs
balance roundrobin
server web1 192.168.200.107:80 check
server web2 192.168.200.106:80 check
web1 web2
echo web1> /var/www/html/index.html
echo web2> /var/www/html/index.html
systemctl restart httpd
client
for i in {1..10}; do curl 192.168.200.102;done
2、基于uri实现调度；
haproxy
vim /etc/haproxy/haproxy.cfg
backend webs
# balance roundrobin
balance uri
hash-type consistent
server web1 192.168.200.107:80 check
server web2 192.168.200.106:80 check
systemctl reload haproxy
client
for i in {1..10}; do curl 192.168.200.102;done
3、基于hdr实现调度：
harpoxy
vim /etc/haproxy/haproxy.cfg
backend webs
# balance roundrobin
# balance uri
balance hdr(User-Agent)
hash-type consistent
server web1 192.168.200.107:80 check
server web2 192.168.200.106:80 check
systemctl reload haproxy
client
for i in {1..10}; do curl -A 'client1' 192.168.200.102;done
for i in {1..10}; do curl -A 'client2' 192.168.200.102;done
3、实现基于 cookie 的会话绑定
backend webs
balance roundrobin
cookie WEBS insert nocache indirect
server web1 192.168.200.107:80 check maxcon 2000 cookie webs1
server web2 192.168.200.106:80 check maxcon 1500 cookie webs2
4、启用 HAproxy 统计接口
haproxy
frontend web:
bind *:80
acl url_static path_beg -i /static /images /javascript /stylesheets
acl url_static path_end -i .jpg .gif .png .css .js
use_backend static if url_static
default_backend webs
state enable
systemctl restart haproxy
client
http://192.168.200.102/haproxy?stats
a、修改状态页监听端口
frontend web
bind :80,:8080
mode http
default_backend webs
Listen stats *:9999
stats enable
b、修改状态页 url
frontend web
bind :80,:8080
mode http
default_backend webs
Listen stats *:9999
stats enable
stats uri admin?mystats
c、添加安全认证
frontend web
bind :80,:8080
mode http
default_backend webs
Listen stats *:9999
stats enable
stats uri /admin?mystats
stars realm "Haproxy\ Start"
stats auth admin:admin
4、动静分离
global #全局参数的设置
1og 127.0.0.1 local2 #全局的日志配宣，使用log关键字，指定使用127.0.0.1
chroot /var/1ib/haproxy #改变当前工作目录
pidfile /var/run/haproxy.pid #当前进程ID文件
maxconn 4000 #最大连接数
user haproxy #所属用户
group haproxy #所属组
daemon #以守护进程运行haproxy
stats socket /var/1ib/haproxy/stats
defaults
mode http #默认的模式mode {tcp|http|helth} tcp是4层，http是7层,health只会返回OK
log global #应用全局的日志配置
option httplog #启用日志记录HTTP请求，默认haproxy日志记录是不记录HTTP请求日志
option dontlognull #启用该项，日志中将不会记录空连接。所谓空连接就是在上游的负载均衡器或者监控系统为了探测该服务是否存活可用时，需要定期的连接或者获取某一固定的组件或页面，或者探测扫描端口是否在监听或开放等动作被称为空连接；官方文档中标注，如果该服务上游没有其他的负载均衡器的话，建议不要使用该参数，因为互联网上的恶意扫描或其他动作就不会被记录下来
option http-server-close #每次请求完毕后主动关闭http通道
option forwardfor except 127.0.0.0/8 #如果服务器上的应用程序想记录发起请求的客户端的IP地址，需要在HAProxy上配置此选项，这样 HAProxy会把客户端的IP信息发送给服务器，在HTTP请求中添加"X-Forwarded-For"字段。启用X-Forwarded-For，在requests头部插入客户端IP发送给后端的server，使后端server获取到客户端的真实IP。
option redispatch #当使用了cookie时，haproxy将会将其请求的后端服务器的serverlD插入到cookie中，以保证会话的SESSION持久性；而此时，如果后端的服务器宕掉了，但是客户端的cookie是不会刷新的，如果设置此参数，将会将客户的请求强制定向到另外一个后端server上，以保证服务的正常。
retries 3 #定义连接后端服务器的失败重连次数，连接失败次数超过此值后将会将对应后端服务器标记为不可用
timeout http-request 10s #http请求超时时间
timeout queue1m timeout connect 10s
timeout client 1m #客户端超时
timeout server 1m #服务器端超时
timeout http-keep-alive 10s #设置http-keep-alive的超时时间
timeout check 10s #检测超时
maxconn 3000 #每个进程可用的最大连接数
listen stats
mode http
bind 0.0.0.0:2333 #监听地址和端口
stats enable #显示状态页面
stats hide-version #隐藏haproxy的版本号
stats uri /haproxyadmin?stats #修改URI路径
stats realm Haproxy\ Statistics #提示信息
stats auth admin:admin#登录状态页面的帐号和密码
stats admin if TRUE
frontend http-in
bind *:80
mode http
log global option httpclose
option logasap
option dontlognull
capture request header Host len 20
capture request header Referer len 60
acl url_static path_beg -i /static /images /javascript /stylesheets
ac1 url_static path_end -i .jpg .jpeg .gif .png .css .js use_backend static_servers if url_static #如果满足url_static条件，则发给static_servers，若不满足dynamic_servers
default_backend dynamic_servers #定义一个名为dynamic_servers前端部分。此处将对于的请求转发给后端
backend static_servers #使用了静态动态分离
balance roundrobin #负载均衡算法
server imgsrvl 172.16.200.1:80 check maxconn 6000 #定义的多个后端
server imgsrv2 172.16.200.2:80 check maxconn 6000
backend dynamic_servers
cookie srv insert nocache
balance roundrobin
server websrv1 172.16.200.1:80 check maxconn 1000 cookie websrv1
server websrv2 172.16.200.2:80 check maxconn 1000 cookie websrv2
server websrv3 172.16.200.3:80 check maxconn 1000 cookie websrv3
5、用keepalived高可用haproxy
harpxoy keepalived
haproxy.cfg
global
log 127.0.0.1 local2
chroot /var/lib/haproxy
pidfile /var/run/haproxy.pid
maxconn 4000
user haproxy
group haproxy
daemon
stats socket /var/lib/haproxy/stats
defaults
mode http
log global
option httplog
option dontlognull
option http-server-close
option forwardfor except 127.0.0.0/8
option redispatch
retries 3
timeout http-request 10s
timeout queue 1m
timeout connect 10s
timeout client 1m
timeout server 1m
timeout http-keep-alive 10s
timeout check 10s
maxconn 3000
frontend web
bind *:80,:8080
acl url_static path_beg -i /static /images /javascript /stylesheets
acl url_static path_end -i .jpg .gif .png .css .js
use_backend static if url_static
mode http
default_backend webs
stats enable
stats hide-version
stats uri /admin
backend static
balance roundrobin
server static 127.0.0.1:4331 check
backend webs
balance roundrobin
server web1 192.168.200.107:80 check
server web2 192.168.200.106:80 check
kepalived.conf
! Configuration File for keepalived
global_defs {
notification_email {
root@localhost
}
notification_email_from keepalived@localhost
smtp_server 127.0.0.1
smtp_connect_timeout 30
router_id node1
}
vrrp_script chk_down {
script "[[-f /etc/keepalived/down]] && exit 1 || exit 0"
interval 1
weight -2
}
vrrp_instance VI_1 {
state MASTER
interface ens32
virtual_router_id 10
priority 100
advert_int 1
authentication {
auth_type PASS
auth_pass 1000
}
virtual_ipaddress {
192.168.200.253
}
track_script {
chk_down
}
