haproxy详解

目录

一、haproxy简介

二、什么是负载均衡

2.1 负载均衡的类型

2.2.1 硬件

2.2.2  四层负载均衡

2.2.3 七层负载均衡

2.2.4 四层和七层的区别

三、haproxy的安装及服务信息

3.1 示例的环境部署:

3.2 haproxy的基本配置信息

3.2.1 global 配置参数介绍

3.2.2 全局参数配置及日志分离

3.3.3 proxies配置

3.2.3.1 proxies配置参数介绍

3.4.4socat 工具

3.4.4.1配置示例:

3.4.4.2 使用方法

3.4.4.3 启用backup

3.4.4.4 针对多线程处理方法,haproxy热处理

四、haproxy的算法

4.1 静态算法

4.1.1 static-rr

4.1.2 first

4.2 动态算法  

4.2.1 roundrobin动态算法

4.2.2 leastconn 动态算法

4.3 其他算法

4.3.1 source

 4.3.1.1 map-base取模法

4.3.1.2 一致性hash  

4.3.2 url

4.3.3 url_param

4.3.4 hdr

4.3.5 算法总结

4.3.6 各算法的运用场景

五、高级功能及配置

5.1 基于cookie会话保持

5.1.1 配置示例 

5.2 haproxy的状态页面监控

5.2.1 配置示例

5.3 IP透传

5.3.1 四层IP透传

5.3.1.1配置示例:

5.3.2 七层IP透传

5.3.2.1配置示例:

5.4 haproxy中访问控制列表(ACL,全称Access Control Lists)

5.4.1 利用ACL做动静分离等访问控制

5.4.1.1 基于域名做动静分离

5.4.1.2 基于源IP或子网调度访问

5.4.1.3 基于浏览器的访问控制

5.4.1.4 基于文件后缀名实现动静分离

5.4.1.5 基于访问路径实现动静分离

5.5 自定义haproxy的错误界面

5.5.1 测试

5.5.2 重定向错误文件

5.6 haproxy的四层负载

5.6.1 测试

5.7 haproxy中https加密访问 

5.7.1 全站加密:


一、haproxy简介

  • HAProxy是法国开发者 威利塔罗(Willy Tarreau) 在2000年使用C语言开发的一个开源软件

  • 是一款具备高并发(万级以上)、高性能的TCP和HTTP负载均衡器

  • 支持基于cookie的持久性,自动故障切换,支持正则表达式及web状态统计

企业版网站:HAProxy Technologies | World's Fastest Load Balancer

社区版网站:http://www.haproxy.org

github:HaPRoX · GitHub

二、什么是负载均衡

负载均衡:Load Balance,简称LB,是一种服务或基于硬件设备等实现的高可用反向代理技术,负载均衡将特定的业务(web服务、网络流量等)分担给指定的一个或多个后端特定的服务器或设备,从而提高了公司业务的并发处理能力、保证了业务的高可用性、方便了业务后期的水平动态扩展。

  1. Web服务器的动态水平扩展-->对用户无感知

  2. 增加业务并发访问及处理能力-->解决单服务器瓶颈问题

  3. 节约公网IP地址-->降低IT支出成本

  4. 隐藏内部服务器IP-->提高内部服务器安全性

  5. 配置简单-->固定格式的配置文件

  6. 功能丰富-->支持四层和七层,支持动态下线主机

  7. 性能较强-->并发数万甚至数十万

2.1 负载均衡的类型

2.2.1 硬件

类型公司网址
F5美国F5网络公司F5 | 多云安全和应用交付
Netscaler美国思杰公司NetScaler: Application Delivery at Scale
Array华耀北京华耀科技有限公司
AD-1000深信服深信服 - 让每个用户的数字化更简单、更安全-深信服

2.2.2  四层负载均衡

1.通过ip+port决定负载均衡的去向。

2.对流量请求进行NAT处理,转发至后台服务器。

3.记录tcp、udp流量分别是由哪台服务器处理,后续该请求连接的流量都通过该服务器处理。

4.支持四层的软件

  • lvs:重量级四层负载均衡器。

  • Nginx:轻量级四层负载均衡器,可缓存。(nginx四层是通过upstream模块)

  • Haproxy:模拟四层转发。

2.2.3 七层负载均衡

1.通过虚拟ur|或主机ip进行流量识别,根据应用层信息进行解析,决定是否需要进行负载均衡。

2.代理后台服务器与客户端建立连接,如nginx可代理前后端,与前端客户端tcp连接,与后端服务器建立tcp连接,

3.支持7层代理的软件:

  • Nginx:基于http协议(nginx七层是通过proxy_pass)

  • Haproxy:七层代理,会话保持、标记、路径转移等。

2.2.4 四层和七层的区别

       所谓的四层就是ISO参考模型中的第四层。四层负载均衡也称为四层交换机,它主要是通过分析 IP层及TCP/UDP层的流量实现的基于IP加端口的负载均衡。常见的基于四层的负载均衡器有 LVS、F5等。

       以常见的TCP应用为例,负载均衡器在接收到第一个来自客户端的SYN 请求时,会通过设定的负载均衡算法选择一个最佳的后端服务器,同时将报文中目标 IP地址修改为后端服务器IP,然后直接转发给该后端服务器,这样一个负载均衡请求就完成了。 从这个过程来看,一个TCP连接是客户端和服务器直接建立的,而负载均衡器只不过完成了一个类似路由的转发动作。在某些负载均衡策略中,为保证后端服务器返回的报文可以正确传递给负载均衡器,在转发报文的同时可能还会对报文原来的源地址进行修改。整个过程下图所示。

 

       同理,七层负载均衡器也称为七层交换机,位于OSI的最高层(即应用层)此时负载均衡器支持多种应用协议,常见的有HTTP、FTP、SMIP等。七层负载均衡器可以根据报文内容,再配合负载均衡算法来选择后端服务器,因此也称为"内容交换器"。比如,对于Web服务器的负载均衡,七层负载均衡器不但可以根据"IP+端口"的方式进行负载分流。还可以根据网站的 URL、访问域名、浏览器类别、语言等决定负载均衡的策略。例如,有两台

Web服务器分别对应中英文两个网站,两个域名分别是A、B,要实现访问A域名时进入中文网站,访问B域名时进入英文网站,这在四层负载均衡器中几乎是无法实现的,而七层负载均衡可以根据客户端访问域名的不同选择对应的网页进行负载均衡处理。

常见的七层负载均衡器有HAproxy、Nginx等。

       这里仍以常见的TCP应用为例,由于负载均衡器要获取到报文的内容,因此只能先代替后端服务器和客户端建立连接,接着才能收到客户端发送过来的报文内容,然后再根据该报文中特定字段加上负载均衡器中设置的负载均衡算法来决定最终选择的内部服务器。纵观整个过程,七层负载均衡器在这种情况下类似于一个代理服务器。整个过程如下图所示。

 

        对比四层负载均衡和七层负载均衡运行的整个过程,可以看出,在七层负载均衡模式下, 负载均衡器与客户端及后端的服务器会分别建立一次 TCP连接,而在四层负载均衡模式下,仅建立一次TCP连接。由此可知,七层负载均衡对负载均衡设备的要求更高,而七层负载均衡的处理能力也必然低于四层模式的负载均衡。  

三、haproxy的安装及服务信息

 安装软件包
[root@haproxy ~]# dnf install haproxy -y

3.1 示例的环境部署:

功能IP
haproxy172.25.254.100
RS1172.25.254.10
RS2172.25.254.20

3.2 haproxy的基本配置信息

查询配置文件
rpm -qc haproxy

[root@haproxy ~]# rpm -qc haproxy 
/etc/haproxy/haproxy.cfg  ---- 配置文件
/etc/logrotate.d/haproxy   ---- 记录日志的文件
/etc/sysconfig/haproxy  --- 记录haproxy本身属性的文件
[root@haproxy ~]# 

HAProxy 的配置文件haproxy.cfg由两大部分组成,分别是:

global:全局配置段

  • 进程及安全配置相关的参数

  • 性能调整相关参数

  • Debug参数

proxies:代理配置段

  • defaults:为frontend, backend, listen提供默认配置

  • frontend:前端,相当于nginx中的server {}

  • backend:后端,相当于nginx中的upstream {}

  • listen:同时拥有前端和后端配置,配置简单,生产推荐使用

  • haproxy的基本部署方法及负载均衡的实现

3.2.1 global 配置参数介绍

参数类型作用
chroot全局锁定运行目录
deamon全局以守护进程运行
user, group, uid, gid全局运行haproxy的用户身份
stats socket全局套接字文件
nbproc N全局开启的haproxy worker 进程数,默认进程数是一个
nbthread 1 (和nbproc互斥)全局指定每个haproxy进程开启的线程数,默认为每个进程一个线程
cpu-map 1 0全局绑定haproxy worker 进程至指定CPU,将第1个work进程绑绑定至0号CPU
cpu-map 2 1全局绑定至0号CPU绑定haproxy worker 进程至指定CPU,将第2个work进程绑定至1号CPU
maxconn N全局每个haproxy进程的最大并发连接数
maxsslconn N全局每个haproxy进程ssl最大连接数,用于haproxy配置了证书的
maxconnrate N全局场景下每个进程每秒创建的最大连接数量
spread-checks N全局后端server状态check随机提前或延迟百分比时间,建议2-5(20%-50%)之间,默认值0
pidfile全局指定pid文件路径
log 127.0.0.1 local2 info全局定义全局的syslog服务器;日志服务器需要开启UDP协议,

3.2.2 全局参数配置及日志分离

设置多进程:
vim/etc/haproxy/haproxy.cfg

    nbproc 2
    cpu-map 1 0  ---进程和CPU核心绑定防止CPU抖动从而减少系统资源消耗。
    cpu-map 2 1  --- 2表示第二个进程,1表示第二个CPU核心。

 

查看多进程信息:
[root@haproxy ~]# pstree -p | grep haproxy
           |-haproxy(33767)-+-haproxy(33769)
           |                `-haproxy(33770)
[root@haproxy ~]# 

进程不是开的越多越好,看你的CPU内核,是几个就设置几个

 

设置多线程:

vim/etc/haproxy/haproxy.cfg

 

查看多线程:
[root@haproxy ~]# systemctl restart haproxy.service 
[root@haproxy ~]# pstree -p | grep haproxy
           |-haproxy(33829)---haproxy(33831)---{haproxy}(33832)
[root@haproxy ~]# cat /proc/33831/status | grep -i thread
Threads:    2
Speculation_Store_Bypass:    thread vulnerable
[root@haproxy ~]# vim /etc/haproxy/haproxy.cfg 
[root@haproxy ~]#  

定向到haproxy的日志
vim /etc/rsyslog.conf

local2.*            /var/log/haproxy.log  ---- 定义local2的位置

 

3.3.3 proxies配置

3.2.3.1 proxies配置参数介绍
参数类型作用
defaultsproxies默认配置项,针对以下的frontend、backend和listen生效,可以多个name也可以没有name
frontendproxies前端servername,类似于Nginx的一个虚拟主机 server和LVS服务集
backendproxies后端服务器组,等于nginx的upstream和LVS中的RS服务器
listenproxies将frontend和backend合并在一起配置,相对于frontend和backend配置更简洁,生产常用

default参数说明:defaultsmode                    http            #------------- HAProxy实例使用的连接协议    log                     global          #------------- 指定日志地址和记录日志条目的syslog/rsyslog日志设备此处的 global表示使用 global配置段中设定的log值option                  httplog         #------------- 日志记录选项,httplog表示记录与 HTTP会话相关的各种属性值option                  dontlognull     #------------- dontlognull表示不记录空会话连接日志option http-server-close                #------------- 等待客户端完整HTTP请求的时间,此处为等待10soption forwardfor       except 127.0.0.0/8    #--------- 透传客户端真实IP至后端web服务器后在webserer中看日志即可看到地址透传信息option                  redispatch            #--------- 当server Id对应的服务器挂掉后,强制定向到其他健康的服务器,重新派发retries                 3                     #--------- 连接后端服务器失败次数timeout http-request    10s                   #--------- 等待客户端请求完全被接收和处理的最长时间timeout queue           1m                    #--------- 设置删除连接和客户端收到503或服务不可用等提示信息前的等待时间timeout connect         10s                   #--------- 设置等待服务器连接成功的时间timeout client          1m                    #--------- 设置允许客户端处于非活动状态,即既不发送数据也不接收数据的时间timeout server          1m                    #--------- 设置服务器超时时间,即允许服务器处于既不接收也不发送数据的非活动时间timeout http-keep-alive 10s                   #--------- session 会话保持超时时间,此时间段内会转发到相同的后端服务器timeout check           10s                   #--------- 指定后端服务器健康检查的超时时间maxconn                 1000                  #--------- 最大并发连接数

frontend 参数:
示例:
frontend webcluster
    bind *:80   #----所有80端口都开启
    mode http
    use_backend webcluster-host         #----使用什么后端 

backend 参数:
定义一组后端服务器,backend服务器将被frontend进行调用。
注意: backend 的名称必须唯一,并且必须在listen或frontend中事先定义才可以使用,否则服务无法启动

mode http|tcp #指定负载协议类型,和对应的frontend必须一致
option #配置选项
server #定义后端real server,必须指定IP和端口

server参数:

check #对指定real进行健康状态检查,如果不加此设置,默认不开启检查,只有check后面没有其它配置也可以启用检查功能
      #默认对相应的后端服务器IP和端口,利用TCP连接进行周期性健康性检查,注意必须指定端口才能实现健康性检查

addr <IP> #可指定的健康状态监测IP,可以是专门的数据网段,减少业务网络的流量
port <num> #指定的健康状态监测端口
inter <num> #健康状态检查间隔时间,默认2000 ms
fall <num> #后端服务器从线上转为线下的检查的连续失效次数,默认为3

示例:
backend webcluster-host
    balance roundrobin
    server web1 172.25.254.10:80
    server web2 172.25.254.20:80

测试效果:

listen 简化配置
示例:
listen webcluster
    bind *:80  
    mode http     
    balance roundrobin
    server web1 172.25.254.10:80
    server web2 172.25.254.20:80 

3.4.4socat 工具

3.4.4.1配置示例:
listen webclusterbind *:80  mode http     balance roundrobinserver web1 172.25.254.10:80server web2 172.25.254.20:80
3.4.4.2 使用方法
dnf install socat -y --- 安装工具,动态调整haproxy里面的参数使用方法:
echo "help" | socat stdio /var/lib/haproxy/statsecho "show info" | socat stdio /var/lib/haproxy/stats   ---- 查看haproxy的状态echo "show servers state" | socat stdio /var/lib/haproxy/stats   ---- 查看server的状态echo get weight webcluster/web1 | socat stdio /var/lib/haproxy/stats  ---查看server的权重echo "set weight webcluster/web1 1 " | socat stdio /var/lib/haproxy/stats ----修改server的权重echo "disable server webcluster/web1" | socat stdio /var/lib/haproxy/stats  ----指定下线server
3.4.4.3 启用backup
启用backup   ---- 两台服务器状态OK的情况下,不会访问这个vim /etc/httpd/conf/httpd.conf --------- 里面修改sorry server的端口vim/etc/haproxy/haproxy.cfglisten webclusterbind *:80mode httpbalance roundrobin    ---- 动态算法server web1 172.25.254.10:80 check inter 2 fall 3 rise 5 weight 2server web2 172.25.254.20:80 check inter 2 fall 3 rise 5 weight 1server web_sorry 172.25.254.100:8080 backup
3.4.4.4 针对多线程处理方法,haproxy热处理
设置多进程,用多个文件来处理多个要处理的事  haproxy热处理
vim/etc/haproxy/haproxy.cfgstats socket /var/lib/haproxy/stats1 mode 600 level admin process 1stats socket /var/lib/haproxy/stats2 mode 600 level admin process 2

ll /var/lib/haproxy/stats 

四、haproxy的算法

  • HAProxy通过固定参数 balance 指明对后端服务器的调度算法

  • balance参数可以配置在listen或backend选项中。

  • HAProxy的调度算法分为静态和动态调度算法

  • 有些算法可以根据参数在静态和动态算法中相互转换。

4.1 静态算法

静态算法:按照事先定义好的规则轮询公平调度,不关心后端服务器的当前负载、连接数和响应速度等,且无法实时修改权重(只能为0和1,不支持其它值),只能靠重启HAProxy生效。

static-rr基于权重的轮询调度first

4.1.1 static-rr

  • 不支持运行时利用socat进行权重的动态调整(只支持0和1,不支持其它值)

  • 不支持端服务器慢启动

  • 其后端主机数量没有限制,相当于LVS中的 wrr

慢启动是指在服务器刚刚启动上不会把他所应该承担的访问压力全部给它,而是先给一部分,当没问题后在给一部分

4.1.2 first

  • 根据服务器在列表中的位置,自上而下进行调度

  • 其只会当第一台服务器的连接数达到上限,新请求才会分配给下一台服务

  • 其会忽略服务器的权重设置

  • 不支持用socat进行动态修改权重,可以设置0和1,可以设置其它值但无效

4.2 动态算法  

  • 基于后端服务器状态进行调度适当调整,

  • 新请求将优先调度至当前负载较低的服务器

  • 权重可以在haproxy运行时动态调整无需重启

有两种:roundrobin     leastconn  

4.2.1 roundrobin动态算法

  • 基于权重的轮询动态调度算法,

  • 支持权重的运行时调整,不同于lvs中的rr轮训模式,

  • HAProxy中的roundrobin支持慢启动(新加的服务器会逐渐增加转发数),

  • 其每个后端backend中最多支持4095个real server,

  • 支持对real server权重动态调整,

  • roundrobin为默认调度算法,此算法使用广泛

示例:

vim/etc/haproxy/haproxy.cfglisten webclusterbind *:80mode httpbalance roundrobin    ---- 动态算法server web1 172.25.254.10:80 check inter 2 fall 3 rise 5 weight 2server web2 172.25.254.20:80 check inter 2 fall 3 rise 5 weight 1

4.2.2 leastconn 动态算法

  • eastconn加权的最少连接的动态

  • 支持权重的运行时调整和慢启动,即:根据当前连接最少的后端服务器而非权重进行优先调度(新客户端连接)

  • 比较适合长连接的场景使用,比如:MySQL等场景。

示例:

listen webclusterbind *:80mode httpbalance leastconn   ---- 动态算法server web1 172.25.254.10:80 check inter 2 fall 3 rise 5 weight 2server web2 172.25.254.20:80 check inter 2 fall 3 rise 5 weight 1

4.3 其他算法

又可以做为静态算法,又可以通过选项成为动态算法

4.3.1 source

        源地址hash,基于用户源地址hash并将请求转发到后端服务器,后续同一个源地址请求将被转发至同一个后端web服务器。此方式当后端服务器数据量发生变化时,会导致很多用户的请求转发至新的后端服务器,默认为静态方式,但是可以通过hash-type支持的选项更改这个算法一般是在不插入Cookie的TCP模式下使用,也可给拒绝会话cookie的客户提供最好的会话粘性,适用于session会话保持但不支持cookie和缓存的场景源地址有两种转发客户端请求到后端服务器的服务器选取计算方式,分别是取模法和一致性hash

 4.3.1.1 map-base取模法

map-based:取模法,对source地址进行hash计算,再基于服务器总权重的取模,最终结果决定将此请求转发至对应的后端服务器。此方法是静态的,即不支持在线调整权重,不支持慢启动,可实现对后端服务器均衡调度缺点是当服务器的总权重发生变化时,即有服务器上线或下线,都会因总权重发生变化而导致调度结果整体改变

4.3.1.2 一致性hash  

        一致性哈希,当服务器的总权重发生变化时,对调度结果影响是局部的,不会引起大的变动hash mode该hash算法是动态的,支持使用 socat等工具进行在线权重调整,支持慢启动

算法:

1、后端服务器哈希环点keyA=hash(后端服务器虚拟ip)%(2^32)

2、客户机哈希环点key1=hash(client_ip)%(2^32) 得到的值在[0---4294967295]之间,

3、将keyA和key1都放在hash环上,将用户请求调度到离key1最近的keyA对应的后端服务器

 hash环偏斜问题:

增加虚拟服务器IP数量,比如:一个后端服务器根据权重为1生成1000个虚拟IP,再hash。而后端服务器权
重为2则生成2000的虚拟IP,再bash,最终在hash环上生成3000个节点,从而解决hash环偏斜问题

hash对象

Hash对象到后端服务器的映射关系:

4.3.2 url

        基于对用户请求的URI的左半部分或整个uri做hash,再将hash结果对总权重进行取模后根据最终结果将请求转发到后端指定服务器适用于后端是缓存服务器场景默认是静态算法,也可以通过hash-type指定map-based和consistent,来定义使用取模法还是一致性hash

4.3.3 url_param

        url_param对用户请求的url中的 params 部分中的一个参数key对应的value值作hash计算,并由服务器总权重相除以后派发至某挑出的服务器,后端搜索同一个数据会被调度到同一个服务器,多用与电商通常用于追踪用户,以确保来自同一个用户的请求始终发往同一个real server如果无没key,将按roundrobin算法

4.3.4 hdr

        针对用户每个http头部(header)请求中的指定信息做hash,此处由 name 指定的http首部将会被取出并做hash计算,然后由服务器总权重取模以后派发至某挑出的服务器,如果无有效值,则会使用默认的轮询调度。  

4.3.5 算法总结

 #静态
static-rr--------->tcp/http
first------------->tcp/http
#动态
roundrobin-------->tcp/http
leastconn--------->tcp/http
#以下静态和动态取决于hash_type是否consistent
source------------>tcp/http
Uri--------------->http
url_param--------->http
hdr--------------->http

4.3.6 各算法的运用场景

first #使用较少
static-rr #做了session共享的web集群
roundrobin
leastconn #数据库
source
#基于客户端公网IP的会话保持
Uri--------------->http #缓存服务器,CDN服务商,蓝汛、百度、阿里云、腾讯
url_param--------->http #可以实现session保持
hdr #基于客户端请求报文头部做下一步处理

五、高级功能及配置

5.1 基于cookie会话保持

cookie value:为当前server指定cookie值,实现基于cookie的会话黏性,相对于基于 source 地址hash调度算法对客户端的粒度更精准,但同时也加大了haproxy负载,目前此模式使用较少, 已经被session共享服务器代替

选项:

name: #cookie 的 key名称,用于实现持久连接
insert: #插入新的cookie,默认不插入cookie
indirect: #如果客户端已经有cookie,则不会再发送cookie信息
nocache: #当client和hapoxy之间有缓存服务器(如:CDN)时,不允许中间缓存器缓存cookie,因为这会导致很多经过同一个CDN的请求都            发送到同一台后端服务器

5.1.1 配置示例 

vim /etc/haproxy/haproxy.cfglisten webclusterbind *:80mode httpbalance roundrobincookie WEBCOOKIE insert nocache indirectserver web1 172.25.254.10:80 cookie ding1 check inter 2 fall 3 rise 5 weight 1server web2 172.25.254.20:80 cookie ding2 check inter 2 fall 3 rise 5 weight 1

网页访问测试:172.25.254.100  访问到之后按F12 选到网络,看cookie值是否改变 

curl访问时指定cookie

RS主机访问:
curl -b WEBCOOKIE=ding1 172.25.254.100
curl -b WEBCOOKIE=ding2 172.25.254.100

5.2 haproxy的状态页面监控

配置选项:

 stats enable #基于默认的参数启用stats page
stats hide-version #将状态页中haproxy版本隐藏
stats refresh <delay> #设定自动刷新时间间隔,默认不自动刷新
stats uri <prefix> #自定义stats page uri,默认值:/haproxy?stats
stats auth <user>:<passwd> #认证时的账号和密码,可定义多个用户,每行指定一个用户
#默认:no authentication
stats admin { if | unless } <cond> #启用stats page中的管理功能

5.2.1 配置示例

vim/etc/haproxy/haproxy.cfglisten statsmode http     ---模式bind *:443    ----- 监听端口stats enable  ---- 打开状态页stats refresh 5   ---- 设置刷新页面的时间stats uri /status  stats auth ding:ding   ---- 访问页面认证

 

5.3 IP透传

5.3.1 四层IP透传

5.3.1.1配置示例:
haproxy主机上:
vim/etc/haproxy/haproxy.cfglisten webclusterbind *:80mode tcp #----四层balance roundrobinserver web1 172.25.254.10:80 send-proxy check inter 2 fall 3 rise 5 weight 1   #send-proxy 代理server web2 172.25.254.20:80 send-proxy check inter 2 fall 3 rise 5 weight 1RS主机上:
[root@werserver2 ~]# vim /etc/nginx/nginx.conf
[root@werserver1 ~]# vim /etc/nginx/nginx.confhttp {log_format  main  '$remote_user [$time_local] "$request" ''"$proxy_protocol_addr"'   ----- 加上这个参数才能进行透传'$status $body_bytes_sent "$http_referer" ''"$http_user_agent" "$http_x_forwarded_for"';access_log  /var/log/nginx/access.log  main;sendfile            on;tcp_nopush          on;tcp_nodelay         on;keepalive_timeout   65;types_hash_max_size 4096;include             /etc/nginx/mime.types;default_type        application/octet-stream;server {listen       80 proxy_protocol;----加上这个参数,不加访问会被拒绝listen       [::]:80;server_name  _;root         /usr/share/nginx/html;# Load configuration files for the default server block.include /etc/nginx/default.d/*.conf;error_page 404 /404.html;location = /404.html {}error_page 500 502 503 504 /50x.html;location = /50x.html {}systemctl restart nginx.service

查看日志:
[root@werserver2 ~]# cat /var/log/nginx/access.log 

5.3.2 七层IP透传

5.3.2.1配置示例:
七层IP透传(nginx):
vim/etc/haproxy/haproxy.cfg
defaultsmode                    httplog                     global#option                  httplogoption                  dontlognulloption http-server-closeoption forwardfor       except 127.0.0.0/8    ----- IP透传用到的参数 forwardforoption                  redispatchretries                 3timeout http-request    10stimeout queue           1mtimeout connect         10stimeout client          1mtimeout server          1mtimeout http-keep-alive 10stimeout check           10smaxconn                 1000listen webclusterbind *:80mode http #----七层balance roundrobinserver web1 172.25.254.10:80 check inter 2 fall 3 rise 5 weight 1server web2 172.25.254.20:80 check inter 2 fall 3 rise 5 weight 1

RS主机测试:
cat /var/log/nginx/access.log 

5.4 haproxy中访问控制列表(ACL,全称Access Control Lists)

        访问控制列表ACL,Access Control Lists)是一种基于包过滤的访问控制技术它可以根据设定的条件对经过服务器传输的数据包进行过滤(条件匹配)即对接收到的报文进行匹配和过滤,基于请求报文头部中的源地址、源端口、目标地址、目标端口、请求方法、URL、文件后缀等信息内容进行匹配并执行进一步操作,比如允许其通过或丢弃。  

示例:
haproxy主机上:
vim/etc/haproxy/haproxy.cfgfrontend webclusterbind *:80mode httpacl test hdr_dom(host) -i www.timingding.orguse_backend webcluster-host if test  ----- 访问主机IP时,访问到RS2,访问域名时,访问到RS1default_backend default-hostbackend webcluster-hostmode httpserver web1 172.25.254.10:80 check inter 2 fall 2 rise 5backend default-hostmode httpserver web2 172.25.254.20:80 check inter 2 fall 2 rise 5[root@haproxy ~]# systemctl restart haproxy.service
[root@haproxy ~]# curl 172.25.254.100
webserver2 - 172.25.254.20
[root@haproxy ~]# curl www.timingding.org
webserver1 - 172.25.254.10
[root@haproxy ~]# 注:要做解析。
Windows下hosts的路径:  C:\Windows\System32\drivers\etc\
Windows下:win+R  然后再ctrl+shift+回车,进入超级管理终端,输入notepad.exe,到hosts下添加域名
Linux下:vim /etc/hosts   中添加域名。

 

vim/etc/haproxy/haproxy.cfgfrontend webclusterbind *:80mode httpacl test base_sub -m ding  ------ 包含ding(域名或目录都行)的都可以调度到RS1,不包含的调度到RS2use_backend webcluster-host if test default_backend default-hostbackend webcluster-hostmode httpserver web1 172.25.254.10:80 check inter 2 fall 2 rise 5backend default-hostmode httpserver web2 172.25.254.20:80 check inter 2 fall 2 rise 5

创建子目录测试:
[root@webserver1 ~]# systemctl restart nginx.service 
[root@webserver1 ~]# mkdir /usr/share/nginx/html/ding -p
[root@webserver1 ~]# echo 172.25.254.10 ding > /usr/share/nginx/html/ding/index.html
[root@webserver1 ~]# 

5.4.1 利用ACL做动静分离等访问控制

5.4.1.1 基于域名做动静分离
示例:
vim/etc/haproxy/haproxy.cfgfrontend webclusterbind *:80mode httpacl domain hdr_dom(host) -i www.timingding.orguse_backend webcluster-host if  domaindefault_backend default-hostbackend webcluster-hostmode httpserver web1 172.25.254.10:80 check inter 2 fall 2 rise 5backend default-hostmode httpserver web2 172.25.254.20:80 check inter 2 fall 2 rise 5
测试:
[root@haproxy ~]# curl www.timingding.org
webserver1 - 172.25.254.10
[root@haproxy ~]# curl www.test.com
webserver2 - 172.25.254.20

5.4.1.2 基于源IP或子网调度访问

示例:
vim/etc/haproxy/haproxy.cfgfrontend webclusterbind *:80mode httpacl ctrl_ip src 172.25.254.1 172.25.254.20 192.168.0.0/24  -----符合条件的访问RS1use_backend webcluster-host if  ctrl_ipdefault_backend default-hostbackend webcluster-hostmode httpserver web1 172.25.254.10:80 check inter 2 fall 2 rise 5backend default-hostmode httpserver web2 172.25.254.20:80 check inter 2 fall 2 rise 5
测试:
[root@werserver2 ~]# curl 172.25.254.100
webserver1 - 172.25.254.10[root@haproxy ~]# curl www.test.com
webserver2 - 172.25.254.20
[root@haproxy ~]# 
frontend webclusterbind *:80mode httpacl ctrl_ip src 172.25.254.1 172.25.254.20 192.168.0.0/24http-request deny if ctrl_ip    ------ 符合条件的拒绝访问default_backend default-hostbackend webcluster-hostmode httpserver web1 172.25.254.10:80 check inter 2 fall 2 rise 5backend default-hostmode httpserver web2 172.25.254.20:80 check inter 2 fall 2 rise 5
测试:
[root@werserver2 ~]# curl 172.25.254.100
webserver1 - 172.25.254.10
[root@werserver2 ~]# curl 172.25.254.100
<html><body><h1>403 Forbidden</h1>
Request forbidden by administrative rules.
</body></html>
[root@werserver2 ~]# [root@haproxy ~]# curl www.test.com   ---- 默认走RS2,走的default
webserver2 - 172.25.254.20
5.4.1.3 基于浏览器的访问控制
示例:
vim/etc/haproxy/haproxy.cfgfrontend webclusterbind *:80mode httpacl badwebrowers hdr_sub(User-Agent) -i wgethttp-request deny if badwebrowersdefault_backend default-hostbackend webcluster-hostmode httpserver web1 172.25.254.10:80 check inter 2 fall 2 rise 5backend default-hostmode httpserver web2 172.25.254.20:80 check inter 2 fall 2 rise 5
5.4.1.4 基于文件后缀名实现动静分离
RS主机上:
[root@webserver1 ~]# install php -y
[root@webserver1 ~]# systemctl restart nginx.service 
[root@webserver1 ~]# 
[root@webserver1 ~]# vim /usr/share/nginx/html/index.php
<?php   phpinfo();
?>查看是否能访问到php

vim/etc/haproxy/haproxy.cfgfrontend webclusterbind *:80mode httpacl static path_end -i .html .jpg .png .css .js  # ---静态acl php path_end -i .php                         ---- 动态use_backend webcluster-host if  phpdefault_backend default-hostbackend webcluster-hostmode httpserver web1 172.25.254.10:80 check inter 2 fall 2 rise 5backend default-hostmode httpserver web2 172.25.254.20:80 check inter 2 fall 2 rise 5

5.4.1.5 基于访问路径实现动静分离

示例:
提前建立好测试目录:
[root@werserver2 ~]# mkdir /usr/share/nginx/html/static -p
[root@werserver2 ~]# 
[root@werserver2 ~]# echo ststic - 172.25.254.20 > /usr/share/nginx/html/static/index.html
[root@werserver2 ~]# curl 172.25.254.20/static/
ststic - 172.25.254.20
[root@werserver2 ~]# [root@webserver1 ~]# mkdir /usr/share/nginx/html/php
[root@webserver1 ~]# cp /usr/share/nginx/html/index.php /usr/share/nginx/html/php/vim/etc/haproxy/haproxy.cfgfrontend webclusterbind *:80mode httpacl static path_sub -m sub static acl php path_sub -m sub  phpuse_backend webcluster-host if  phpdefault_backend default-hostbackend webcluster-hostmode httpserver web1 172.25.254.10:80 check inter 2 fall 2 rise 5backend default-hostmode httpserver web2 172.25.254.20:80 check inter 2 fall 2 rise 5[root@haproxy ~]# systemctl restart haproxy.service 

5.5 自定义haproxy的错误界面

两台web服务都给他挂掉
[root@werserver1 ~]# systemctl stop nginx.service 
[root@werserver2 ~]# systemctl stop nginx.service此时访问不到

查看错误页面文件路径:
[root@haproxy ~]# rpm -ql haproxy | grep http
/usr/share/doc/haproxy/design-thoughts/http2.txt
/usr/share/doc/haproxy/design-thoughts/http_load_time.url
/usr/share/doc/haproxy/internals/http-cookies.txt
/usr/share/doc/haproxy/internals/http-docs.txt
/usr/share/doc/haproxy/internals/http-parsing.txt
/usr/share/doc/haproxy/option-http_proxy.cfg
/usr/share/haproxy/400.http
/usr/share/haproxy/403.http
/usr/share/haproxy/408.http
/usr/share/haproxy/500.http
/usr/share/haproxy/502.http
/usr/share/haproxy/503.http
/usr/share/haproxy/504.http
[root@haproxy ~]# 

[root@haproxy ~]# mkdir /etc/haproxy/errorpages/ 
[root@haproxy ~]# vim /etc/haproxy/errorpages/503page.http HTTP/1.0 503 Service Unavailable
Cache-Control: no-cache
Connection: close
Content-Type: text/html<html><body><h1>shenmdongwu</h1>
puhailing!!!
</body></html>root@haproxy ~]# vim /etc/haproxy/haproxy.cfgdefaultsmode                    httplog                     global#option                  httplogoption                  dontlognulloption http-server-closeoption forwardfor       except 127.0.0.0/8option                  redispatchretries                 3timeout http-request    10stimeout queue           1mtimeout connect         10stimeout client          1mtimeout server          1mtimeout http-keep-alive 10stimeout check           10smaxconn                 1000errorfile 503  /etc/haproxy/errorpages/503page.http

5.5.1 测试

 

5.5.2 重定向错误文件

root@haproxy ~]# vim /etc/haproxy/haproxy.cfgdefaultsmode                    httplog                     global#option                  httplogoption                  dontlognulloption http-server-closeoption forwardfor       except 127.0.0.0/8option                  redispatchretries                 3timeout http-request    10stimeout queue           1mtimeout connect         10stimeout client          1mtimeout server          1mtimeout http-keep-alive 10stimeout check           10smaxconn                 1000#errorfile 503  /etc/haproxy/errorpages/503page.httperrorloc 503 https://www.baidu.com

测试:

网页输入172.25.254.100 --- 自动转到百度网站 

5.6 haproxy的四层负载

 针对除HTTP以外的TCP协议应用服务访问的应用场景

MySQL
Redis
Memcache
RabbitMQ

示例:
使用mariadb来示例:
两台RS主机安装mariadb:
[root@webserver1 ~]# yum install mariadb-server -y
[root@webserver2 ~]# yum install mariadb-server -y改配置便于区分:
[root@webserver1 ~]# vim /etc/my.cnf.d/mariadb-server.cnf
[mysqld]
server_id=1
datadir=/var/lib/mysql
socket=/var/lib/mysql/mysql.sock
log-error=/var/log/mariadb/mariadb.log
pid-file=/run/mariadb/mariadb.pidsystemctl start mariadb[root@webserver1 ~]# vim /etc/my.cnf.d/mariadb-server.cnf
[mysqld]
server_id=2
datadir=/var/lib/mysql
socket=/var/lib/mysql/mysql.sock
log-error=/var/log/mariadb/mariadb.log
pid-file=/run/mariadb/mariadb.pidsystemctl start mariadb

 

RS主机上创建mariadb远程登录用户
[root@webserver1 ~]# mysql
[root@webserver2 ~]# mysql    ----- 两台RS主机都一样 

查看端口是否开启:
netstat  -atnlupe | grep 3306 

haproxy主机:
[root@haproxy ~]# yum install mariadb-server -y
[root@haproxy ~]# vim /etc/haproxy/haproxy.cfg
listen dbserverbind *:3306mode tcpbalance static-rr   ----轮询server db1 172.25.254.10:3306 check inter 2 fall 2 rise 5server db2 172.25.254.20:3306 check inter 2 fall 2 rise 5[root@haproxy ~]# systemctl restart haproxy.service

5.6.1 测试

haproxy主机上:

 

RS1主机上: 

 

RS2主机上: 

 

5.7 haproxy中https加密访问 

[root@haproxy ~]# mkdir -p /etc/haproxy/certs
制作证书:
[root@haproxy ~]#openssl req -newkey rsa:2048 -nodes -sha256 –keyout /etc/haproxy/certs/timinglee.org.key 
-x509 -days 365 -out /etc/haproxy/certs/timinglee.org.crt[root@haproxy ~]#cat /etc/haproxy/certs/timingding.org.key /etc/haproxy/certs/timingding.org.crt >/etc/haproxy/certs/timingding.pem

 

haproxy主机上:
vim /etc/haproxy/haproxy.cfglisten web-httpsbind *:443 ssl crt /etc/haproxy/certs/timingding.pemmode httpbalance roundrobinserver web2 172.25.254.20:80 check inter 2 fall 2 rise 5server web1 172.25.254.10:80 check inter 2 fall 2 rise 5

测试:

网页输入https://172.25.254.100 

5.7.1 全站加密:
vim /etc/haproxy/haproxy.cfgfrontend webclusterbind *:80mode httpredirect scheme https if !{ ssl_fc }  ----- 自动跳转httpsbackend webcluster-hostmode httpserver web1 172.25.254.10:80 check inter 2 fall 2 rise 5backend default-hostmode httpserver web2 172.25.254.20:80 check inter 2 fall 2 rise 5

测试:

可以把代码都放到子配置文件里面:
查看:
[root@haproxy ~]# vim /lib/systemd/system/haproxy.service子配置文件:
/etc/haproxy/conf.d每次打开或修改自配置文件,重启之后都要执行systemctl daemon-reload

本文来自互联网用户投稿,该文观点仅代表作者本人,不代表本站立场。本站仅提供信息存储空间服务,不拥有所有权,不承担相关法律责任。如若转载,请注明出处:http://www.rhkb.cn/news/397244.html

如若内容造成侵权/违法违规/事实不符,请联系长河编程网进行投诉反馈email:809451989@qq.com,一经查实,立即删除!

相关文章

sleuth+zipkin分布式链路追踪

概述 结构图 常见的链路追踪 cat zipkin pinpoint skywalking sleuth Sleuth介绍 Trace Span Annotation 使用Sleuth 添加依赖 <!--sleuth--><dependency><groupId>org.springframework.cloud</groupId><artifactId>spring-cloud-starte…

运维工具的衍化对运维工作的新挑战

运维工具的衍化对运维工作产生了深远的影响&#xff0c;这些影响体现在多个方面&#xff0c;包括提升运维效率、优化资源配置、增强故障应对能力、促进团队协作与沟通&#xff0c;以及面临新的挑战如数据安全和隐私保护等。运维工具的衍化对运维工作带来了多方面的新挑战&#…

Yolo-World初步使用

Yolo v8目前已经支持Yolo-World&#xff0c;整理一下初步使用步骤。 使用步骤 1 先下载Yolo-World的pt文件&#xff0c;下载地址&#xff1a;GitHub - AILab-CVC/YOLO-World: [CVPR 2024] Real-Time Open-Vocabulary Object Detection 官网应该是点这里&#xff08;有个笑脸…

【C#】读取与写入txt文件内容

在 C# 中读取和写入文本文件内容是一个常见的任务。以下是使用几种不同方法读取和写入文本文件的示例。 一、读取txt文件内容 1.1 使用 StreamReader using System; using System.IO;class Program {static void Main(){string filePath "C:\path\to\your\file.txt&qu…

QT多语言工具实现支持生成ts文件,ts文件和xlsx文件互转

一. 工具介绍 1.如果你是Qt项目,为多语言发愁的话,看到这篇文件,恭喜你有福啦!工具截图如下:​ 2.在项目开发的过程中,尽量将所有需要翻译的文本放在一个文件中,qml翻译用一个文件,cpp用一个,如下: test.h #pragma once /******************************************…

Java面试篇(线程池相关专题)

文章目录 1. 为什么要使用线程池2. 线程池的核心参数和线程池的执行原理2.1 线程池的核心参数2.2 线程池的执行原理 3. 线程池中常见的阻塞队列3.1 常见的阻塞队列3.2 ArrayBlockingQueue 和 LinkedBlockingQueue 的区别 4. 如何确定线程池的核心线程数4.1 应用程序中任务的类型…

【代码随想录】长度最小的子数组——滑动窗口

本博文为《代码随想录》的学习笔记。原文链接&#xff1a;代码随想录 题目 原题链接&#xff1a;长度最小的子数组 给定一个含有 n 个正整数的数组和一个正整数 target 。 找出该数组中满足其总和大于等于 target 的长度最小的 子数组 [numsl, numsl1, ..., numsr-1, nums…

历史库,成本与性能如何兼得?| OceanBase应用实践

随着数据量的迅猛增长&#xff0c;企业和组织在数据库管理方面遭遇的挑战愈发凸显。数据库性能逐渐下滑、存储成本节节攀升&#xff0c;以及数据运维复杂性的增加&#xff0c;这些挑战使得DBA和开发者在数据管理上面临更大的压力。 为了应对这些挑战&#xff0c;对数据生命周期…

uni-app学习笔记

一、下载HBuilder https://www.dcloud.io/hbuilderx.html 上述网址下载对应版本&#xff0c;下载完成后进行解压&#xff0c;不需要安装&#xff0c;解压完成后&#xff0c;点击HBuilder X.exe文件进行运行程序 二、创建uni-app项目 此处我是按照文档创建的uni-ui项目模板…

DWG图纸识别工作

DWG图纸识别工作 目的&#xff1a;完成从DWG图纸中数据的提取&#xff0c;在数据提取之前先要对DWG图纸进行识别。得到某个图层的数据。 最终完成图纸建筑外轮廓线坐标数据的提取。 1、 DWG图纸&#xff0c;通过AutoCAD软件导出 DXF文件 2、 DXF文件上传到服务端&#xff0c;…

Java设计模式(适配器模式)

定义 将一个类的接口转换成客户希望的另一个接口。适配器模式让那些接口不兼容的类可以一起工作。 角色 目标抽象类&#xff08;Target&#xff09;&#xff1a;目标抽象类定义客户所需的接口&#xff08;在类适配器中&#xff0c;目标抽象类只能是接口&#xff09;。 适配器类…

XJTUSE-离散数学-图论

概述 图的定义 几个定义&#xff0c;不赘述 多重图&#xff1a;有平行边存在 简单图&#xff1a;无平行边 无自环 子图 and 补图 完全图的概念 结点的度 入度&#xff0c;出度 奇结点、偶结点 定理&#xff1a;对于无向图&#xff0c;奇结点的个数为偶数 图的同构 必…

Golang 并发编程

Golang 并发编程 Goroutine 什么是协程 创建 Goroutine 主 goroutine &#xff08;main函数&#xff09;退出后&#xff0c;其它的工作 goroutine 也会自动退出 package mainimport ("fmt""time" )func myFunc() {i : 0for {ifmt.Println("func: …

MySQL:表的设计原则和聚合函数

所属专栏&#xff1a;MySQL学习 &#x1f48e;1. 表的设计原则 1. 从需求中找到类&#xff0c;类对应到数据库中的实体&#xff0c;实体在数据库中表现为一张一张的表&#xff0c;类中的属性对应着表中的字段 2. 确定类与类的对应关系 3. 使用SQL去创建具体的表 范式&#xff1…

从“抠图”到“抠视频”,Meta上新AI工具SAM 2。

继2023年4月首次推出SAM&#xff0c;实现对图像的精准分割后&#xff0c;Meta于北京时间2024年7月30日推出了能够分割视频的新模型SAM 2&#xff08;Segment Anything Model 2&#xff09;。SAM 2将图像分割和视频分割功能整合到一个模型中。所谓“分割”&#xff0c;是指区别视…

API 签名认证:AK(Access Key 访问密钥)和 SK(Secret Key 私密密钥)

API签名认证 在当今的互联网时代&#xff0c;API作为服务与服务、应用程序与应用程序之间通信的重要手段&#xff0c;其安全性不容忽视。你是否遇到过需要在HTTP请求中加入访问密钥(ak)和私密密钥(sk)的情况&#xff1f;是不是担心这些敏感信息会被拦截或者泄露&#xff1f;本…

【多线程】乐观/悲观锁、重量级/轻量级锁、挂起等待/自旋锁、公平/非公锁、可重入/不可重入锁、读写锁

文章目录 乐观锁和悲观锁重量级锁和轻量级锁挂起等待锁和自旋锁公平锁和非公平锁可重入锁和不可重入锁读写锁相关面试题 锁&#xff1a;非常广义的概念&#xff0c;不是指某个具体的锁&#xff0c;所有的锁都可以往这些策略中套 synchronized&#xff1a;只是市面上五花八门的锁…

[独家原创]基于分位数回归的Bayes-GRU多变量时序预测【区间预测】 (多输入单输出)Matlab代码

[独家原创]基于分位数回归的Bayes-GRU多变量时序预测【区间预测】 &#xff08;多输入单输出&#xff09;Matlab代码 目录 [独家原创]基于分位数回归的Bayes-GRU多变量时序预测【区间预测】 &#xff08;多输入单输出&#xff09;Matlab代码效果一览基本介绍程序设计参考资料 效…

RM麦轮控制以及底盘解算

一个典型的RM机器人四轮底盘由电机&#xff0c;底板&#xff0c;悬挂等构成&#xff0c;底盘安装在底盘的四角&#xff0c;呈矩形分布&#xff0c;麦克纳姆轮的辊子方向会影响其运动性能&#xff0c;一般采用如下图所示&#xff0c;四个麦轮的辊子延长线都过底盘中心的安装方法…

c语言学习,atoi()函数分析

1&#xff1a;atoi() 函数说明&#xff1a; 检查参数*ptr&#xff0c;子串中数字或正负号&#xff0c;遇到非数字或结束符停止 2&#xff1a;函数原型&#xff1a; int atoi(const char *ptr) 3&#xff1a;函数参数&#xff1a; 参数c&#xff0c;为检测子串 4&#xff1a;…