零基础入门haproxy七层代理

最新推荐文章于 2024-11-01 15:32:36 发布

疯狂的rabbit.

最新推荐文章于 2024-11-01 15:32:36 发布

阅读量1.0k

点赞数 20

分类专栏：云计算文章标签：运维云计算 linux haproxy lvs 负载均衡网络

本文链接：https://blog.csdn.net/m0_61665967/article/details/141107803

版权

云计算专栏收录该内容

7 篇文章 0 订阅

订阅专栏

haproxy的安装和服务信息

#安装软件
yum install -y haproxy

配置文件：/etc/haproxy/haproxy.cfg

global:全局配置段

进程及安全配置相关的参数
性能调整相关参数
Debug参数

proxies:代理配置段
defaults:为frontend,backend,listen提供默认配置
frontend:前端，相当于nginx中的server0}
backend:后端，相当于nginx中的upstream
listen:同时拥有前端和后端配置,配置简单,生产推荐使用

global配置

log  127.0.0.1 local2
	#运行目录
    chroot      /var/lib/haproxy
    #pid文件路径
    pidfile     /var/run/haproxy.pid
    maxconn     4000
    user        haproxy
    group       haproxy
    daemon
    
    #开启多线程
    nbthread 数字
    
    #开启多进程
    nbproc	数字
    cpu-map 1 0		#为进程指定cpu
    cpu-map 2 1

    # 套接字文件
    stats socket /var/lib/haproxy/stats1 mode 600 level admin process 1

#查看进程数
pstree -p | grep haproxy

#查看线程数
cat /proc/子进程id/status

proxies配置

defaults配置

针对以下的frontend、backed、listen生效

defaults
    mode                    http	#默认工作类型
    log                     global
    option                  httplog
    option                  dontlognull
    option http-server-close
    option forwardfor       except 127.0.0.0/8
    option                  redispatch
    retries                 3
    timeout http-request    10s
    timeout queue           1m
    timeout connect         10s	#最长连接等待时间
    timeout client          1m	#与客户端最长非活动时间
    timeout server          1m	#请求处理时长
    timeout http-keep-alive 10s	#会话保持超时时间
    timeout check           10s	#默认检测时间
    maxconn                 3000

frontend配置

前端servername、类似于虚拟主机和lvs的集群

frontend main
    bind *:5000	#监听地址及其端口号
    use_backend static          if url_static
    default_backend             app

backed配置

后端服务器组，类似于RS服务器

mode httpltcp	#指定负载协议类型,和对应的frontend必须一致
option		#配置选项
server		#定义后端realserver,必须指定IP和端口

listen配置

将frontend和backed合并在一起配置，更加简洁

listen webserver_80
	bind 172.25.254.100:80
	mode http
	option forwardfor
	server webserver1 192.168.0.101:80 check inter 3s fa11 3 rise 5 #每隔三秒检查一次，连续失败三次则转为线下，失败之后重连5次则转为线上
	server webserver2 192.168.0.102:80 check inter 3s fa11 3 rise 5

socat工具

对服务器动态权重和其它状态可以利用 socat工具进行调整，Socat 是 Linux 下的一个多功能的网络工具，名字来由是Socket CAT，相当于netCAT的增强版.Socat 的主要特点就是在两个数据流之间建立双向通道，且支持众多协议和链接方式。如IP、TCP、UDP、IPv6、Socket文件等

#软件下载
[root@haproxy ~]# yum install -y socat

#编辑配置文件，进行授权
[root@haproxy ~]# vim /etc/haproxy/haproxy.cfg 
    stats socket /var/lib/haproxy/stats mode 600 level admin

#重启haproxy
[root@haproxy ~]# systemctl start socat
#查看权值
[root@haproxy ~]# echo "get weight web/web1" | socat stdio /var/lib/haproxy/stats
#设置权值
[root@haproxy ~]# echo "set weight web/web1 2" | socat stdio /var/lib/haproxy/stats
#关闭、重启服务
[root@haproxy ~]# echo "disable server web/web1" | socat stdio /var/lib/haproxy/stats
[root@haproxy ~]# echo "enable server web/web1" | socat stdio /var/lib/haproxy/stats

注：web/web1分别为frontene的集群名和backed内的服务器名称
注2：socat设定完之后若重启haproxy服务配置则会失效

针对多进程时
#开启多进程
[root@haproxy ~]# vim /etc/haproxy/haproxy.cfg 
	nbproc 2
	cpu-map 1 0
	cpu-map 2 1
    stats socket /var/lib/haproxy/stats1 mode 600 level admin process 1
    stats socket /var/lib/haproxy/stats2 mode 600 level admin process 2
    
#调用更改时只需改变文件存储位置即可
例如  socat stdio /var/lib/haproxy/stats1

haproxy算法

静态算法

static-rr

基于权重的轮询调度

不支持慢启动

不支持socat进行权重的动态调整

[root@node1 ~]# vim /etc/haproxy/haproxy.cfg
listen web_80
        bind 10.10.100.101:80
        mode http
        balance static-rr
        server web01 10.10.100.102:80 weight 1 check inter 3000 fall 3 rise 5
        server web02 10.10.100.103:80 weight 1 check inter 3000 fall 3 rise 5
        
#测试
[root@node1 ~]# while true; do curl -L http://10.10.100.101; sleep 1s; done
web02 10.10.100.103
web01 10.10.100.102
web01 10.10.100.102
web02 10.10.100.103

2.first

基于服务器在列表中的位置，自上而下进行调度

当第一台服务器链接数达到上限，请求会分配给下一台服务器

忽略权重设置

不支持socat进行动态修改权限

[root@node1 ~]# vim /etc/haproxy/haproxy.cfg
listen web_80
        bind 10.10.100.101:80
        mode http
        balance first
        server web01 10.10.100.102:80 maxconn 2 weight 1 check inter 3000 fall 3 rise 5
        server web02 10.10.100.103:80 weight 1 check inter 3000 fall 3 rise 5

#测试
[root@node1 ~]# while true; do curl http://10.10.100.101; sleep 0.1;done

动态算法

roundrobin

基于权重进行轮询调度

支持慢启动（新加的服务器会逐渐增加转发数量）

每个后端backend中最多支持4095个RS

支持动态权重调整

listen web_80
        bind 10.10.100.101:80
        mode http
        balance roundrobin
        server web01 10.10.100.102:80 weight 1 check inter 3000 fall 3 rise 5
        server web02 10.10.100.103:80 weight 1 check inter 3000 fall 3 rise 5

#测试
[root@node1 ~]# while true; do curl http://10.10.100.101; sleep 1;done
web01 10.10.100.102
web02 10.10.100.103
web01 10.10.100.102
web02 10.10.100.103

#动态调整权重
[root@node1 ~]# echo "get weight web_80/web01" |socat stdio /var/lib/haproxy/haproxy.sock1
1 (initial 1)

[root@node1 ~]# echo "set weight web_80/web01 3" |socat stdio /var/lib/haproxy/haproxy.sock1

[root@node1 ~]# echo "get weight web_80/web01" |socat stdio /var/lib/haproxy/haproxy.sock1
3 (initial 1)

2.leastconn

连接数最少的服务器优先接收连接。

leastconn建议用于长会话服务，例如LDAP、SQL、TSE等，而不适合短会话协议。如HTTP.该算法是动态的，对于实例启动慢的服务器权重会在运行中调整。

listen web_80
        bind 10.10.100.101:80
        mode http
        balance leastconn
        server web01 10.10.100.102:80 weight 1 check inter 3000 fall 3 rise 5
        server web02 10.10.100.103:80 weight 1 check inter 3000 fall 3 rise 5

其他算法

source

根据请求的源 IP 地址来决定将请求分配到哪个后端服务器。相同源 IP 的请求总是被分配到相同的服务器，适用于需要保持会话一致性的场景。

map-base取模法：

对源地址进行hash计算后在基于服务器的总权重进行取模 hash(sour_ip)%weight总

作为静态算法，不支持慢启动和在线调整权重

一致性hash算法(consistenet)：

当服务器的权重发生变化影响是局部的，不会造成较大变动

作为动态算法，支持socat工具进行在线权重修改，支持慢启动

算法具体步骤：

1、后端服务器生成哈希环点 key=hash(后端服务器虚拟ip)%(2^32)

2、客户机生成哈希环点 key=hash(前端客户机虚拟IP)%(2^32)

3、将服务器和客户机生成的哈希环点都放到（0.2^32-1）组成的hash环上，客户机哈希环点顺时针访问最近的服务器哈希环点
```
#map-base取模法
listen web_80
        bind 10.10.100.101:80
        mode http
        balance source
        server web01 10.10.100.102:80 weight 1 check inter 3000 fall 3 rise 5
        server web02 10.10.100.103:80 weight 1 check inter 3000 fall 3 rise 5

#一致性hash算法
listen web_80
        bind 10.10.100.101:80
        mode http
        balance source
        #指定使用一致性hash
        hash-type consistent
        server web01 10.10.100.102:80 weight 1 check inter 3000 fall 3 rise 5
        server web02 10.10.100.103:80 weight 1 check inter 3000 fall 3 rise 5
```
uri

对用户请求的uri进行hash，再将hash后的结果基于总权重进行取模，根据最终结果选择请求的后端服务器

hash(uri)%weight总

算法基于应用层，只支持http、不支持tcp
url_param

url_param对⽤户请求的url中的params部分中的参数name（key）作hash计算，并由服务器总权重相除以后派发⾄某挑出的服务器。后端搜索同一个数据会被调度到同一个服务器
hdr

针对http头部请求中的指定信息进行hash，由服务器权重取模之后发送至跳出的服务器

高级功能及配置案例

主机名	角色
192.168.84.141	web1
192.168.84.142	web2
192.168.84.140	haproxy

基于cookie会话保持

为当前server指定cookie值，实现基于cookie的会话黏性，相对于基于 source 地址hash 调度算法对客户端的粒度更精准，但同时也加大了haproxy负载，目前此模式使用较少，已经被session 共享服务器代替

#1、web1、web2中下载nginx，方便后续效果展示
yum install -y nginx
echo web2-192.168.84.142 > /usr/share/nginx/html/index.html
systemctl restart nginx

#2、haproxy下载软件并进行相关配置
vim /etc/haproxy/conf.d/cookie.cfg
listen cookie
	bind *:80
	mode http
	balance roundrobin
	cookie HAHA	insert nocache indirect
	server web1 192.168.84.141:80 cookie web1 check inter 3 fall 3 rise 5 weight 1
	server web2 192.168.84.142:80 cookie web2 check inter 3 fall 3 rise 5 weight 1

测试：

HAProxy状态页

通过web页面显示当前haproxy的状态

vim /etc/haproxy/conf.d
listen stats
	bind *:80
	mode http
	balance	static-rr
	stats enable			#基于默认参数启用stats pag
	stats uri /status		#设定uri
	stats auth zhou:123		#设定用户登录账号密码
	server web1 192.168.84.141:80 check inter 3 fall 4 rise 5 weight 1
	server web2 192.168.84.142:80 check inter 3 fall 4 rise 5 weight 1

测试：

IP透传

IP 透传指的是在网络通信中，允许一个数据包在经过中间设备或网络节点时，保留其原始的源 IP 地址和目的 IP 地址，而不被中间设备修改或替换。

四层IP透传

#1、#nginx 配置：在访问日志中通过变量$proxy_protocol_addr 记录透传过来的客户端IP
[root@web1 ~]# cat /etc/nginx/nginx.conf
http {
    log_format  main  '$remote_addr - $remote_user [$time_local] "$request" '
                      '$status $body_bytes_sent "$http_referer" '
		      ' "$proxy_protocol_addr"' #记录透传过来的客户IP
                      '"$http_user_agent" "$http_x_forwarded_for"';
    server {
        listen       80 proxy_protocol; #无法直接访问，只能走四层
        listen       [::]:80;
        server_name  _;
        root         /usr/share/nginx/html;


#2、haproxy设置
[root@haproxy conf.d]# cat ip.cfg 
listen ip
	bind *:80
	mode tcp		#四层透传
	balance roundrobin
	server web1 192.168.84.141:80 send-proxy check inter 3 fall 3 rise 5 weight 1
	server web2 192.168.84.142:80  check inter 3 fall 3 rise 5 weight 1

七层IP透传

#1、#nginx 配置：在访问日志中通过变量"$proxy_add_x_forwarded_for"
[root@web1 ~]# cat /etc/nginx/nginx.conf
http {
    log_format  main  '"$proxy_add_x_forwarded_for" - $remote_user [$time_local] "$request" '
                      '$status $body_bytes_sent "$http_referer" '
                      '"$http_user_agent" "$http_x_forwarded_for"';
    server {
        listen       80;
        listen       [::]:80;
        server_name  _;
        root         /usr/share/nginx/html;


#2、haproxy设置
[root@haproxy conf.d]# cat ip.cfg 
listen ip
	bind *:80
	mode http		#七层透传
	balance roundrobin
	server web1 192.168.84.141:80 send-proxy check inter 3 fall 3 rise 5 weight 1
	server web2 192.168.84.142:80  check inter 3 fall 3 rise 5 weight 1

ACL

#用acl来定义或声明一个acl
acl   <aclname> <criterion>   [flags]     [operator]   [<value>]
acl     名称     匹配规范       匹配模式     具体操作符   操作对象类型

匹配规范

基于HTTP请求头部的匹配

hdr（[<name> [，<occ>]]）：完全匹配字符串,header的指定信息，<occ> 表示在多值中使用的值的出
现次数
hdr_beg（[<name> [，<occ>]]）：前缀匹配，header中指定匹配内容的begin
hdr_end（[<name> [，<occ>]]）：后缀匹配，header中指定匹配内容end
hdr_dom（[<name> [，<occ>]]）：域匹配，header中的dom（host）
hdr_dir（[<name> [，<occ>]]）：路径匹配，header的uri路径
hdr_len（[<name> [，<occ>]]）：长度匹配，header的长度匹配
hdr_reg（[<name> [，<occ>]]）：正则表达式匹配，自定义表达式(regex)模糊匹配
hdr_sub（[<name> [，<occ>]]）：子串匹配，header中的uri模糊匹配 模糊匹配c 报文中a/b/c也会匹
配

精确匹配

base：
#返回第一个主机头和请求的路径部分的连接，该请求从主机名开始，并在问号之前结束,对虚拟主机有用
<scheme>://<user>:<password>@#<host>:<port>/<path>;<params>#?<query>#<frag>

base_beg：前缀匹配上述连接。
base_dir：子目录匹配上述连接。
base_dom：域匹配上述连接。
base_end：后缀匹配上述连接。
base_len：根据上述连接的长度进行匹配。
base_reg：使用正则表达式匹配上述连接。
base_sub：子串匹配上述连接。

URL部分匹配

path : string
#提取请求的URL路径，该路径从第一个斜杠开始，并在问号之前结束（无主机部分）
<scheme>://<user>:<password>@<host>:<port>#/<path>;<params>#?<query>#<frag>
 path     : exact string match
 path_beg : prefix match  #请求的URL开头，如/static、/images、/img、/css
 path_end : suffix match  #请求的URL中资源的结尾，如 .gif .png .css .js .jpg .jpeg
path_dom：域匹配请求的 URL 路径。
path_dir：子目录匹配请求的 URL 路径。
path_len：根据请求的 URL 路径长度进行匹配。
path_reg：使用正则表达式匹配请求的 URL 路径。
path_sub：子串匹配请求的 URL 路径。

URL完整匹配

url：提取请求中的整个 URL。
url_beg：前缀匹配整个 URL。
url_dir：子目录匹配整个 URL。
url_dom：域匹配整个 URL。
url_end：后缀匹配整个 URL。
url_len：根据整个 URL 的长度进行匹配。
url_reg：使用正则表达式匹配整个 URL。
url_sub：子串匹配整个 URL。

IP、端口匹配

dst：匹配目标 IP 地址。
dst_port：匹配目标端口。
src：匹配源 IP 地址。
src_port：匹配源端口。

状态码匹配

status : integer  #返回在响应报文中的状态码

HTTP请求方法匹配

method : 请求方法
acl valid_method method GET HEAD
http-request deny if ! valid_method

匹配模式

-i 不区分大小写
-m 使用指定的正则表达式匹配方法
-n 不做DNS解析
-u 禁止acl重名，否则多个同名ACL匹配或关系

具体操作符

整数比较：eq、ge、gt、le、lt
字符比较：
- exact match     (-m str) :字符串必须完全匹配模式
- substring match (-m sub) :在提取的字符串中查找模式，如果其中任何一个被发现，ACL将匹配
- prefix match   (-m beg) :在提取的字符串首部中查找模式，如果其中任何一个被发现，ACL将匹配
- suffix match   (-m end) :将模式与提取字符串的尾部进行比较，如果其中任何一个匹配，则ACL进行
匹配
- subdir match   (-m dir) :查看提取出来的用斜线分隔（“/"）的字符串，如其中任一个匹配，则ACL
进行匹配
- domain match   (-m dom) :查找提取的用点（“."）分隔字符串，如果其中任何一个匹配，则ACL进行
匹配

操作对象类型

- Boolean #布尔值
- integer or integer range #整数或整数范围，比如用于匹配端口范围
- IP address / network #IP地址或IP范围, 192.168.0.1 ,192.168.0.1/24
- string--> www.abc.org
 exact #精确比较
 substring #子串
 suffix #后缀比较
 prefix #前缀比较
 subdir #路径， /wp-includes/js/jquery/jquery.js
 domain #域名，www.abc.org
- regular expression #正则表达式
- hex block #16进制

域名匹配示例

注：若要windows主机测试，则需提前做好主机host映射

#1、haproxy配置
[root@haproxy conf.d]# cat http.cfg 
frontend http
	bind *:80
	mode http
	acl webhost hdr_dom(host) www.zhou.com		 #定义acl规则
	use_backend test if webhost		 #达成webhost执行test、否则执行test1
	default_backend test1
backend test
	mode http
	server web1 192.168.84.141:80 check inter 3 fall 3 rise 5 weight 1
backend test1
	mode http
	server web2 192.168.84.142:80 check inter 3 fall 3 rise 5 weight 1

基于源IP、子网调度

#1、haproxy操作
[root@haproxy conf.d]# cat http1.cfg 
frontend http1
	bind *:80
	mode http
	#IP地址为172.25.2254.2和1912.168.0.0/24都会访问web1
	acl webhost src 172.25.254.2 192.168.0.0/24
	use_backend test2 if webhost
	default_backend test3
backend test2
	mode http
	server web1 192.168.84.141:80 check inter 3 fall 3 rise 5 weight 1
backend test3
	mode http
	server web2 192.168.84.142:80 check inter 3 fall 3 rise 5 weight 1

匹配浏览器类型

[root@haproxy conf.d]# cat http2.cfg 
frontend http
	bind *:80
	mode http
	acl webhost1 hdr_sub(User-Agent) -i wget
	#acl webhost1 hdr_sub(User-Agent) -i curl
	http-request deny if webhost1 #符合webhost1条件拒绝连接
	default_backend b
backend a
	mode http
	server web1 192.168.84.141:80 check inter 3 fall 3 rise 5 weight 1
backend b
	mode http
	server web2 192.168.84.142:80 check inter 3 fall 3 rise 5 weight 1

基于文件后缀实现动静分离

[root@haproxy conf.d]# cat http2.cfg 
frontend http
	bind *:80
	mode http
	acl url_static path_end -i .jpg .png .css .js .html #静态后缀acl
	acl url_php     path_end -i .php		#动态后缀acl
	use_backend static_host if url_static
    use_backend php_host if url_php
    default_backend default_webserver
backend static_host
	mode http
	server web1 192.168.84.141:80 check inter 3 fall 3 rise 5 weight 1
backend php_host
	mode http
	server web2 192.168.84.142:80 check inter 3 fall 3 rise 5 weight 1
backend default_webserver
	mode http
	server web2 192.168.84.143:80 check inter 3 fall 3 rise 5 weight 1

HAProxy错误页面

自定义页面错误

#1、制作错误显示内容文件
[root@haproxy ~]# mkdir -p /etc/haproxy/error   #自定义错误页面存储位置
[root@haproxy ~]#cp /usr/share/haproxy/503.http /etc/haproxy/error/503log.cfg
[root@haproxy ~]#vim /etc/haproxy/error/503log.cfg
HTTP/1.0 503 Service Unavailable^M
Cache-Control: no-cache^M
Connection: close^M
Content-Type: text/html^M
^M
<html><body><h1>503 Service Unavailable</h1>
******************************
%%%%%%%%%%%%%%%%%%%%%%%%%%%%%.
</body></html>



#2、更改配置文件
[root@haproxy ~]# vim /etc/haproxy/haproxy.cfg 

defaults
	errorfile 503 /etc/haproxy/error/503log.cfg  #指向自定义错误页面的文件位置

重定向页面错误

#修改配置文件
[root@haproxy ~]# vim /etc/haproxy/haproxy.cfg 

defaults
	errorloc 503 https://www.baidu.com  #访问报错时直接转向百度页面

HAProxy的https实现

#配置HAProxy支持https协议，支持ssl会话；
 bind *:443 ssl crt /PATH/TO/SOME_PEM_FILE 
#指令 crt 后证书文件为PEM格式，需要同时包含证书和所有私钥
 cat demo.key demo.crt > demo.pem 
#把80端口的请求重向定443
 bind *:80
 redirect scheme https if !{ ssl_fc }

#1、生成私钥和证书
[root@haproxy certs]# openssl req -newkey rsa:2048 -nodes -sha256 -keyout /etc/haproxy/certs/zy.key -x509 -days 365 -out /etc/haproxy/certs/zy.crt

#2、将私钥和证书导入文件内
[root@haproxy certs]#cat  /etc/haproxy/certs/zy.key /etc/haproxy/certs/zy.crt > /etc/haproxy/zy.pem


#3、配置haproxy文件
haproxy ~]# vim /etc/haproxy/haproxy.cfg
frontend webserver
   bind *:80
   redirect scheme https if !{ ssl_fc }
   mode http
   use_backend webcluster
frontend webserver-https
   bind *:443 ssl crt /etc/haproxy/zy.pem
   mode http
   use_backend webcluster
backend webcluster
   mode http
   balance roundrobin
   server web1 192.168.84.141:80 check inter 3s fall 3 rise 5
   server web2 192.168.84.142:80 check inter 3s fall 3 rise 5