haproxy高级

已于 2024-08-14 11:54:49 修改
阅读量1.4k 收藏 9
点赞数 29
文章标签： 网络
于 2024-08-11 23:38:39 首次发布
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/autter_a3/article/details/141113736
版权

haproxy高级配置及案例

1、基于cookie的会话保持


cookie value ：为当前 server 指定 cookie 值，实现基于 cookie 的会话黏性，相对于基于 source 地址 hash 调度算法对客户端的粒度更精准，但同时也加大了haproxy 负载，目前此模式使用较少， 已经被 session 共享服务器代替

cookie会话保持明显不支持 tcp mode ，使用 http mode


配置选项

cookie name [ rewrite | insert | prefix ][ indirect ] [ nocache ][ postonly ] [
preserve ][ httponly ] [ secure ][ domain ]* [ maxidle <idle> ][ maxlife ]
name ： #cookie 的 key 名称，用于实现持久连接
insert ： # 插入新的 cookie, 默认不插入 cookie
indirect ： # 如果客户端已经有 cookie, 则不会再发送 cookie 信息
nocache:  # 当 client 和 hapoxy 之间有缓存服务器（如： CDN ）时，不允许中间缓存器缓存 cookie ， #因为这会导致很多经过同一个 CDN 的请求都发送到同一台后端服务器
配置示例
haproxy ~]# vim /etc/haproxy/haproxy.cfg
......
listen webserver_80
bind 172.25.254.100:80
option forwardfor
mode http
balance roundrobin
cookie WEBCOOKIE insert nocache indirect
server webserver1 192.168.0.10:80 cookie web1 weight 1 check inter 3s fall
3 rise 5
server webserver2 192.168.0.20:80 cookie web2 weight 1 check inter 3s fall
3 rise 5
.....

2、IP透传


P 透传（IP Transparency）指的是在代理服务器处理请求和响应的过程中，能够将客户端的真实 IP 地址传递到后端服务器，使得后端服务器能够获取到客户端的原始 IP 而不是代理服务器的 IP 地址。

在web服务器中需要记录客户端的真实IP地址，用于做访问统计、安全防护、行为分析、区域排行等场景。

IP透传分为四层和七层：tcp协议为四层，httpd协议为七层

2.1、四层代理

开启透传四层代理
[root@rs1 ~]# vim /etc/nginx/nginx.conf
。。。。。。
http {
log_format main '$remote_addr - $remote_user [$time_local] "$request"'
' "$proxy_protocol_addr"'
'$status $body_bytes_sent "$http_referer" '
'"$http_user_agent" "$http_x_forwarded_for"';
。。。内容省略。。。
server {
listen 80 proxy_protocol; #启用此项，将无法直接访问此网站，只能通过四层代理
访问
listen [::]:80;
server_name _;
root /usr/share/nginx/html;
。。。。。。
}
}
修改haproxy
haproxy ~]# vim /etc/haproxy/haproxy.cfg
......
listen webserver_80
bind 172.25.254.100:80
mode tcp
balance roundrobin
server webserver1 192.168.0.10:80 send-proxy weight 1 check inter 3s fall 3
rise 5
......
查看日志内容
[root@rs1 ~]# tail -n 3 /var/log/nginx/access.log
192.168.0.10 - - [10/aug/2024:15:21:00 +0800] "GET / HTTP/1.1"200 18 "-"
"curl/7.29.0" "-"
192.168.0.10 - - [10/aug/2024:15:26:11 +0800] "GET / HTTP/1.1"200 18 "-"
"curl/7.29.0" "-"
192.168.0.10 - - [10/aug/2024:15:41:56 +0800] "GET / HTTP/1.1" "172.25.254.10"200
18 "-" "curl/7.29.0"

七层代理

修改haproxy
haproxy ~]# vim /etc/haproxy/haproxy.cfg
......
listen webserver_80
option forwardfor
bind 172.25.254.100:80
mode http
balance roundrobin
server webserver1 192.168.0.10:80 send-proxy weight 1 check inter 3s fall 3
rise 5
server webserver1 192.168.0.20:80 weight 1 check inter 3s fall 3 rise 5
配置web服务日志格式
#nginx 日志格式：
$proxy_add_x_forwarded_for： #包括客户端IP和中间经过的所有代理的IP
$http_x_forwarded_For： #只有客户端IP
log_format main '"$proxy_add_x_forwarded_for" - $remote_user [$time_local]
"$request" '
'$status $body_bytes_sent "$http_referer" '
'"$http_user_agent" $http_x_forwarded_For';
查看日志
[root@rs1 ~]# tail -n 3 /var/log/nginx/access.log
"172.25.254.10, 192.168.0.10" 192.168.0.10 - - [10/aug/2024:16:15:00 +0800] "GET
/ HTTP/1.1"200 18 "-" "curl/7.29.0" "172.25.254.10"
[root@rs2 ~]# tail -n 3 /etc/httpd/logs/access_log
172.25.254.10 192.168.0.10 - - [11/aug/2024:00:15:00 +0800] "GET / HTTP/1.1" 200
27 "-" "curl/7.29.0"

HAProxy 中的 ACL（访问控制列表）详解

1. ACL 概述

1.1 基本概念

ACL（Access Control List）是 HAProxy 中用于实现基于请求报文的首部、响应报文的内容或其他环境状态信息来做出转发决策的一种机制。ACL 可以根据不同的条件来过滤流量，并据此执行特定的动作，如阻止请求、转发到特定的后端服务器等。

1.2 作用

  • 智能路由：根据客户端请求的特性（如 IP 地址、请求方法、URL 等）将流量导向特定的后端服务器。
  • 访问控制：限制或允许特定客户端的访问，提高系统的安全性。
  • 负载均衡：根据服务器的负载情况和其他条件智能地分配请求。
  • 故障恢复：在服务器出现故障时，可以自动将请求重新定向到健康的服务器。

2. ACL 配置

2.1 ACL 语法格式

ACL 的配置通常遵循以下格式：

acl <aclname> <criterion> [flags] [operator] <value>
  • <calname>:定义 ACL 的名称，必须是唯一的，且只能包含字母、数字和连字符。
  • [flags]：可选的标志位，例如 -i 表示忽略大小写。
  • [operator]：可选的操作符，例如 eq 表示等于。
  • <value>：定义测试条件的具体值。

2.2 ACL 示例

  • ACL-criterion 匹配规范
 提取http报文首部
hdr string，提取在一个HTTP请求报文的首部
hdr（[<name> [，<occ>]]）：完全匹配字符串,header的指定信息，<occ> 表示在多值中使用的值的出
现次数
hdr_beg（[<name> [，<occ>]]）：前缀匹配，header中指定匹配内容的begin
hdr_end（[<name> [，<occ>]]）：后缀匹配，header中指定匹配内容end
hdr_dom（[<name> [，<occ>]]）：域匹配，header中的dom（host）
hdr_dir（[<name> [，<occ>]]）：路径匹配，header的uri路径
hdr_len（[<name> [，<occ>]]）：长度匹配，header的长度匹配
hdr_reg（[<name> [，<occ>]]）：正则表达式匹配，自定义表达式(regex)模糊匹配
hdr_sub（[<name> [，<occ>]]）：子串匹配，header中的uri模糊匹配 模糊匹配c 报文中a/b/c也会匹
配
 首部指定内容
hdr(<string>) 用于测试请求头部首部指定内容
hdr_dom(host) 请求的host名称，如 www.zheng.org
hdr_beg(host) 请求的host开头，如 www. img. video. download. ftp.
hdr_end(host) 请求的host结尾，如 .com .net .cn

acl bad_agent hdr_sub(User-Agent) -i curl wget
http-request deny if bad_agent
#有些功能是类似的，比如以下几个都是匹配用户请求报文中host的开头是不是www
acl short_form hdr_beg(host) www.
acl alternate1 hdr_beg(host) -m beg www.
acl alternate2 hdr_dom(host) -m beg www.
acl alternate3 hdr(host) -m beg www.

base：string
ACL-operator 具体操作符
整数比较：eq、ge、gt、le、lt
字符比较：
- exact match (-m str) :字符串必须完全匹配模式
- substring match (-m sub) :在提取的字符串中查找模式，如果其中任何一个被发现，ACL将匹配
- prefix match (-m beg) :在提取的字符串首部中查找模式，如果其中任何一个被发现，ACL将匹配
- suffix match (-m end) :将模式与提取字符串的尾部进行比较，如果其中任何一个匹配，则ACL进行
匹配
- subdir match (-m dir) :查看提取出来的用斜线分隔（“/"）的字符串，如其中任一个匹配，则ACL
进行匹配
- domain match (-m dom) :查找提取的用点（“."）分隔字符串，如果其中任何一个匹配，则ACL进行
匹配
ACL-value 操作对象
The ACL engine can match these types against patterns of the following types :
- Boolean #布尔值
- integer or integer range #整数或整数范围，比如用于匹配端口范围
- IP address / network #IP地址或IP范围, 192.168.0.1 ,192.168.0.1/24
- string--> www.timinglee.org
exact #精确比较
substring #子串
suffix #后缀比较
prefix #前缀比较
subdir #路径， /wp-includes/js/jquery/jquery.js
domain #域名，www.timinglee.org
- regular expression #正则表达式
- hex block #16进制

  • 基于客户端 IP 地址：

    acl ip100 src 192.168.1.100
acl ip100 src 192.168.1.100/24

  • 基于请求的 URL：

    acl api-uri path_beg /api
acl api-uri path -i /api

  • 基于 HTTP 方法：

    acl get-method req.meth eq GET
acl post-method req.meth eq POST

  • 基于 HTTP 用户代理：

    acl chrome-user-agent hdr(User-Agent) -i chrome

2.3 使用 ACL

一旦定义了 ACL，就可以在 HAProxy 的配置中使用它们来执行各种操作，例如：

  • 转发到特定后端：

    use_backend servers if api-uri

  • 拒绝请求：

    http-request deny if ip100

  • 重定向：

    http-request redirect code 302 if api-uri location /new-api-url

3. 实际应用场景

3.1 基于 IP 的访问控制

假设我们需要限制来自特定 IP 地址的访问，可以使用如下配置：

frontend http-in
    bind *:80
    mode http
    default_backend servers

backend servers
    balance roundrobin
    server server1 192.168.0.10:80 check
    server server2 192.168.0.20:80 check

    acl block-ip src 192.168.0.100
    http-request deny if block-ip

3.2 基于 URL 的路由

假设我们需要将所有以 /api/ 开头的请求路由到一组专门处理 API 请求的后端服务器，可以使用如下配置：

frontend http-in
    bind *:80
    mode http
    default_backend servers

backend servers
    balance roundrobin
    server server1 192.168.0.10:80 check
    server server2 192.168.0.20:80 check

backend api-servers
    balance roundrobin
    server server3 192.168.0.11:80 check
    server server4 192.168.0.21:80 check

    acl api-uri path_beg /api
    use_backend api-servers if api-uri

3.3 基于 HTTP 方法的重定向

假设我们需要将所有 POST 请求重定向到一个特定的 URL，可以使用如下配置：

frontend http-in
    bind *:80
    mode http
    default_backend servers

backend servers
    balance roundrobin
    server server1 192.168.1.10:80 check
    server server2 192.168.1.11:80 check

    acl post-method req.meth eq POST
    http-request redirect code 302 if post-method location /post-handler

 3.4 匹配访问路径实现动静分离

假设我们需要将php与static静态界面的资源分别存放于指定的服务器，通过匹配访问路径访问动静态资源，可用以下配置：

frontend testacl
bind :80
mode http

########### ACL settings #######################

acl url_static path_end -i .jpg .png .css .js .html
acl url_static path_end -m sub /static /images /javascript
acl acl_app path_beg -m sub /api

########### host ###########################

use_backend static_host if url_static
use_backend api_host if acl_app

########### default server ###################

default_backend default_webserver
backend static_host
mode http
server web2 192.168.0.101:80 check weight 1 inter 3s fall 3 rise 5
backend api_host
mode http
server web1 192.168.0.102:80 check weight 1 inter 3s fall 3 rise 5
backend default_webserver
mode http
server web1 172.25.254.10:80 check weight 1 inter 3s fall 3 rise 5

创建相关文件
[root@rs1 ~]# mkdir /usr/share/nginx/html/static
[root@rs1 ~]# echo static 192.168.0.10 > /usr/share/nginx/html/static/index.html
[root@rs2 ~]# mkdir /var/www/html/php/
[root@rs2 ~]# vim /var/www/html/php/index.php
<?php
      phpinfo();
?>
 测试访问

自定义haproxy错误页面

 配置示例
haproxy ~]# vim /etc/haproxy/haproxy.cfg
......
defaults

mode http
......

timeout client 1m
timeout server 1m
timeout http-keep-alive 10s
timeout check 10s
maxconn 1000000
errorfile 503 /haproxy/errorpages/503page.http

[root@haproxy ~]# mkdir /haproxy/errorpages/ -p
[root@haproxy ~]# cp /usr/share/haproxy/503.http /haproxy/errorpages/503page.http
[root@haproxy ~]# vim /haproxy/errorpages/503page.http
HTTP/1.0 503 Service Unavailable
Cache-Control: no-cache
Connection: close
Content-Type: text/html;charset=UTF-8

<html><body><h1>易如反掌易如反掌</h1>

</body></html
测试

haproxy四层负载

对于haproxy还存在除http外的tcp协议应用服务访问的应用场景，比如mysql

配置示例
[root@haproxy ~]# vim /etc/haproxy/haproxy.cfg
......
listen mysql_port
bind :3306       #mysql服务使用的端口
mode tcp
balance leastconn
server mysql1 192.168.0.101:3306 check
server mysql2 192.168.0.102:3306 check       #或者使用frontend和backend实现
[root@haproxy ~]# vim /etc/haproxy/haproxy.cfg
......
frontend mysql_port
bind :3306
mode tcp
use_backend mysql_rs
backend mysql_rs
mode tcp
balance leastconn
server mysql1 192.168.0.101:3306 check
server mysql2 192.168.0.102:3306 check
[root@haproxy ~]# systemctl restart haproxy.service
在rs1，rs2安装mysql服务
 yum install mariadb-server -y
vim /etc/my.cnf
[mysqld]
server-id=1
 测试

Autter_A3
关注
  • 29
    点赞
  • 踩
  • 9
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
HAProxy 高级功能与配置
Blog of Stevenux
01-16 1346
配置和验证的环境看这篇文章:HAProxy 各种调度算法介绍 一.基于 cookie 的会话保持 使用cookie关键字来配置后端服务器基于 cookie 的会话持久连接。 配置格式 cookie <name> [ rewrite | insert | prefix ] [ indirect ] [ nocache ] [ postonly ] [ pres...
Windows Haproxy-2.0.2_last.zip
04-07
四、Haproxy高级用法 1. 使用ACL（Access Control Lists）进行访问控制，根据请求的特性决定是否允许通过。 2. 使用 stickiness 实现会话持久化，保证用户请求始终被定向到同一后端服务器，提高服务一致性。 3. ...
haproxy高级功能及案例配置(cookie会话、IP透传、acl等)
m0_63640988的博客
08-12 722
是一种基于包过滤的访问控制技术，它可以根据设定的条件对经过服务器传输的数据包进行过滤(条件匹配)即对接收到的报文进行匹配和过滤，基于请求报文头部中的源地址、源端口、目标地址、目标端口、请求方法、URL、文件后缀等信息内容进行匹配并执行进一步操作，比如允许其通过或丢弃。现在我们把websever3和websever4停用，然后客户主机去访问haproxy主机，就会出现503错误访问出问题改配置#添加以下自定义内容<html><body><h1>什么动物生气最安静</h1>大猩猩！！
进阶！haproxy高级功能与配置
qq3178535571的博客
08-12 1214
本文主要介绍HAProxy高级配置及使用案例修改自定义日志的内容修改haproxy自定日志路径验证前需关闭两台服务器的服务。
HAproxy 高级用法
Shengyun996的博客
05-25 2143
HAproxy 高级用法 基于cookie的会话保持 cookie value：为当前server指定cookie值，实现基于cookie的会话黏性，但同时也加大了haproxy负载，目前此模式使用较少，已经被session共享服务器代替 注意：不支持mode tcp，使用mode http cookie [option] name： #cookie的key名称，用于实现持久连接 insert： #插入新的cookie,默认不插入cookie indirect： #如果客户端已经有cookie
haproxy高级功能及配置
spring℡
01-18 706
1、cookie会话保持 [root@localhost ~]# cd /etc/haproxy [root@localhost haproxy]# vim conf.d/app1.cfg listen app1 # this is the address and port we'll listen to, the ones to aim the # load generators at bind :80 log global # create a certificat
HAProxy 高级配置选项
LCK 博客
07-01 1063
一、HAProxy利用cookie实现会话保持 在没有缓存服务器做session共享的情况下，可以使用haproxy插入cookie实现session共享。 #配置选项 cookie name insert indirect nocache name：cookie的key名称，⽤于实现持久连接。 insert：如果客户端请求报⽂没有cookie就插⼊新的cookie到响应报⽂，如第⼀次访问HAProxy。 indirect：不会向客户端发送服务器已经处理过请求的cookie信息，⽐如后端服务器宕机后HA
一眼心动的HAProxy高级功能配置
刘大帅ps的博客
08-11 341
测试：访问172.25.254.100出现错误页面就对了。.....errorloc 503 https://www.baidu.com #浏览器访问172.25.254.100 自动跳转到百度.....^M!!!!测试：关闭后端的RS主机然后用浏览器去访问172.25.254.100。
haproxy 高级功能及配置
Tai_hua的博客
08-12 449
注：将之前的都删掉(以 为分隔符里面的字符串)之间包含的内容： 路径子字符串匹配(path_sub) 说明：结尾加/是代表这个目录不加/代表这个文件acl对字串进行过滤符合ip的10，不符合ip的20不同的路径访问不同的页面 例如：在配置文件里的defaults最后编写： 在配置文件里的defaults最后编写：使用数据库来做10和20都安装mariadb webserver1 里面
【三】haproxy高级功能配置
2301_77475090的博客
08-12 469
对指定的报错进行重定向，进行优雅的显示错误页面使用errorfile和erroroc指令的两种方法，可以实现自定义各种错误页面什么动物生气最安静大猩猩!!
haproxy-1.8.18.tar.gz
11-10
haproxy支持多种高级特性，如会话持久化（session persistence）、统计页面、ACL（访问控制列表）以及健康检查等。会话持久化允许相同客户端的请求被连续转发到同一台后端服务器，保持服务状态的一致性。ACL则可以...
HAProxy实战详解
03-17
在本篇文章中，我们将深入探讨HAProxy的实战应用，包括其在web架构中的角色、负载均衡的基本概念、HAProxy的安装与基础配置、调度算法以及高级配置选项。 首先，让我们来理解一下web架构。Web架构通常由多个组件...
​数据链路层——流量控制&可靠传输机制 ​
qq_25467441的博客
09-09 563
例题:一个信道的数据传输率为4kb/s ,单向传播时延为30ms ,如果使停止-等待协议的信道最大利用率达到80%,要求的数据帧长度至少为。设数据帧的长度为L比特，则发送方发送全部的数据需要时间：L/4。“停止-等待”就是每发送完一个分组就停止发送，等待对方确认，在收到确认后再发送下一个分组。因为是在讨论可靠传输的原理,所以并不考虑数据是在哪一个层次上传送的。发送方在一个发送周期内,有效地发送数据所需要的时间占整个发送周期的比率。数据链路层的流量控制是点对点的，而传输层的流量控制是端到端的。
WireShark分析localhost包
ngczx的博客
09-11 324
WireShark分析localhost包
如何用3个月零基础入门网络安全？_网络安全零基础怎么学习
最新发布
2401_84466224的博客
09-11 614
我们知道计算机最早是在西方发明出来的，很多名词或者代码都是英文的，甚至现有的一些教程最初也是英文原版翻译过来的，而且一个漏洞被发现到翻译成中文一般需要一个星期的时间，在这个时间差上漏洞可能都修补了。”答案是否定的，黑客用的电脑,不需要什么高的配置,只要稳定就行.因为黑客所使用的一些程序,低端CPU也可以很好的运行,而且不占什么内存.还有一个,黑客是在DOS命令下对进行的,所以电脑能使用到最佳状态!观看学习近十年所有0day挖掘的帖，然后搭建环境，去复现漏洞，去思考学习笔者的挖洞思维，培养自己的渗透思维。
200 Gb/s和400 Gb/s网络
dncsk的专栏
09-07 1390
116.200 Gb/s和400 Gb/s网络简介写在前面 :1.需要英文原文请自行官网下载2.本人无授权故亦不接受相关付费服务 如有商业性需求建议寻找有资质的书籍供应商购买3.翻译纯粹为爱发电,因为机器翻译所以错乱较多 建议参照英文原文对比使用 4.欢迎评论区提出建议或意见 原则上不删除评论 原则上不回复私信 和解呈现200GBASE-RPCSPMDIEEEStd802.3-2022，IEEE以太网标准第八节116.200Gb/s和400Gb/s网络116.1概述116.1范围本条款描述了200千兆位和4
[网络]HTTP协议 Cookie与Session
m0_74910646的博客
09-07 749
HTTP Cookie（也称为 Web Cookie、浏览器 Cookie 或简称 Cookie）是服务器发送到 用户浏览器并保存在浏览器上的一小块数据，它会在浏览器之后向同一服务器再次发 起请求时被携带并发送到服务器上。通常，它用于告知服务端两个请求是否来自同一浏览器，如保持用户的登录状态、记录用户偏好等。HTTP Session 是服务器用来跟踪用户与服务器交互期间用户状态的机制。由于 HTTP 协议是无状态的（每个请求都是独立的），因此服务器需要通过 Session 来记住用户的信息。
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值