haproxy ACL

最新推荐文章于 2024-08-11 22:25:52 发布
最新推荐文章于 2024-08-11 22:25:52 发布
阅读量1.1k 收藏 1
点赞数
文章标签： 负载均衡
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/qq_36801585/article/details/105235952
版权

文章目录

haproxy ACL

​ 访问控制列表（ACL，Access Control Lists）是一种基于包过滤的访问控制技术，它可以根据设定的条件对经过服务器传输的数据包进行过滤(条件匹配)，即对接收到的报文进行匹配和过滤，基于请求报文头部中的源地址、源端口、目标地址、目标端口、请求方法、URL、文件后缀等信息内容进行匹配并执行进一步操作，允许其通过或丢弃。

文档

1. ACL配置选项
acl   <aclname> <criterion>   [flags]     [operator]   [<value>]
acl     名称		匹配规范      匹配模式     具体操作符    操作对象类型
1.1：ACL-Name
acl   image_service hdr_dom(host)   -i   img.magedu.com

ACL名称，可以使用大字母A-Z、小写字母a-z、数字0-9、冒号：、点. 、中横线和下划线，并且严格区分大小写，必须Image_site和image_site完全是两个acl。

1.2：ACL-criterion

​ 定义ACL匹配规范

完全匹配字符串 hdr（[<name> [，<occ>]]） 官方7.1节中

  hdr_beg（[<name> [，<occ>]]）：前缀匹配
  hdr_dir（[<name> [，<occ>]]）：路径匹配
  hdr_dom（[<name> [，<occ>]]）：域匹配
  hdr_end（[<name> [，<occ>]]）：后缀匹配
  hdr_len（[<name> [，<occ>]]）：长度匹配
  hdr_reg（[<name> [，<occ>]]）：正则表达式匹配
  hdr_sub（[<name> [，<occ>]]）：子串匹配
 
 dst 目标IP
 dst_port   目标PORT
 src   源IP
 src_port 源PORT

​ 示例

 hdr <string>用于测试请求头部首部指定内容
 hdr_dom(host) 请求的host名称，如 www.magedu.com
 hdr_beg(host) 请求的host开头，如 www.   img.   video.   download.   ftp.
 hdr_end(host) 请求的host结尾，如 .com   .net   .cn
 path_beg   请求的URL开头，如/static、/images、/img、/css
 path_end  请求的URL中资源的结尾，如 .gif .png .css .js .jpg .jpeg
1.3：ACL-flags

ACL basics: 官方7.1 节中

The following ACL flags are currently supported :

-i 不区分大小写
 -m 使用指定的pattern匹配方法
 -n 不做DNS解析
 -u 禁止acl重名，否则多个同名ACL匹配或关系
1.4：ACL-operator

整数比较：官方7.12 节 Matching integers

eq、ge、gt、le、lt

字符比较：在官方7.13 节中 Matching strings

- exact match     (-m str) :字符串必须完全匹配模式
- substring match (-m sub) :在提取的字符串中查找模式，如果其中任何一个被发现，ACL将匹配
- prefix match   (-m beg) :在提取的字符串首部中查找模式，如果其中任何一个被发现，ACL将匹配
- suffix match   (-m end) :将模式与提取字符串的尾部进行比较，如果其中任何一个匹配，则ACL进行匹配
- subdir match   (-m dir) :查看提取出来的用斜线分隔（“/”）的字符串，如果其中任何一个匹配，则ACL进行匹配
- domain match   (-m dom) :查找提取的用点（“.”）分隔字符串，如果其中任何一个匹配，则ACL进行匹配
1.5：ACL-value

value的类型

ACL basics: 官方7.1 节中

The ACL engine can match these types against patterns of the following types

- Boolean #布尔值
- integer or integer range   #整数或整数范围，比如用于匹配端口范围
- IP address / network   #IP地址或IP范围, 192.168.0.1 ,192.168.0.1/24

- string 
  exact –精确比较
  substring—子串 www.magedu.com 
  suffix-后缀比较
  prefix-前缀比较
  subdir-路径， /wp-includes/js/jquery/jquery.js
  domain-域名，www.magedu.com

- regular expression #正则表达式
- hex block #16进制
2. ACL调用方式

Using ACLs to form conditions 官文7.2

- 与：隐式（默认）使用（且）
- 或：使用“or” 或 “||”表示
- 否定：使用“!“ 表示
3. ACL示例-域名匹配
listen web_host
        bind 192.168.1.101:80
        mode http
        balance roundrobin
        log global
        option httplog
        acl web_host hdr_dom(host)   www.mage.net
        use_backend mage_host if web_host
        default_backend default_web

backend mage_host
        mode http
        server web1 192.168.1.103 check inter 2000 fall 3 rise 5

backend default_web
        mode http
        server web1 192.168.1.104:80 check inter 2000 fall 3 rise 5

验证：

​ 在客户端192.168.1.105 中修改hosts

192.168.1.101 www.mage.net www.xx.com

root@z5:~# curl  www.mage.net
103 index

root@z5:~# curl  www.xx.com
104 index


root@z5:~# curl   192.168.1.101
104 index
4、ACL示例-基于源IP或子网调度访问

​ 将指定的源地址调度至指定的web服务器组

listen web_host
        bind 192.168.1.101:80,172.16.1.21:80
        mode http
        balance roundrobin
        log global
        option httplog
        acl ip_range_test src 172.16.0.0/16 192.168.1.103
        use_backend mage_host if ip_range_test
        default_backend default_web

backend mage_host
        mode http
        server web1 192.168.1.103 check inter 2000 fall 3 rise 5

backend default_web
        mode http
        server web1 192.168.1.104:80 check inter 2000 fall 3 rise 5

验证

root@z5:~# curl  172.16.1.21
103 index
root@z5:~# curl  192.168.1.101
104 index
5、ACL示例-基于源地址的访问控制
listen web_host
        bind 192.168.1.101:80,172.16.1.21:80
        mode http
        balance roundrobin
        log global
        option httplog
        acl block_test src 192.168.1.103 192.168.0.0/21
        block if block_test
        default_backend default_web

backend mage_host
        mode http
        server web1 192.168.1.103 check inter 2000 fall 3 rise 5

backend default_web
        mode http
        server web1 192.168.1.104:80 check inter 2000 fall 3 rise 5

验证

root@z6:~# curl 192.168.1.101
<html><body><h1>403 Forbidden</h1>
Request forbidden by administrative rules.
</body></html>

root@z6:~# curl  172.16.1.21
104 index
6. ACL示例-匹配浏览器类型

IE11 浏览器 User-Agent: Mozilla/5.0 (Windows NT 10.0; WOW64; Trident/7.0; rv:11.0) like Gecko

谷歌浏览器 User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/80.0.3987.149 Safari/537.36

火狐浏览器User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64; rv:74.0) Gecko/20100101 Firefox/74.0

上面3个不同的浏览器，useragent 值是不一样的，找出他们独一无二的部分就可以实现基于不同浏览器 进行的匹配。

比如火狐浏览器就有 “ Firefox”， IE的那个就有“Trident” 。不可以用数字，因为浏览器的版本会发生变化的

例子：

当用户访问192.168.1.101时 ，

​ 如果客户端是IE就跳转到百度；

​ 如果客户端是火狐就跳转到天猫；

​ 其他的浏览器，默认访问192.168.1.104

listen web_host
        bind 192.168.1.101:80
        mode http
        balance roundrobin
        log global
        option httplog

        acl redirect_IE hdr(User-Agent) -m sub -i "Trident"
        redirect prefix https://www.baidu.com/ if redirect_IE

        acl redirect_fox hdr(User-Agent) -m sub -i "Firefox"
        redirect prefix https://www.taobao.com/ if redirect_fox

        default_backend default_web


backend default_web
        mode http
        server web1 192.168.1.104:80 check inter 2000 fall 3 rise 5

验证

mark

mark

mark

7. ACL示例-基于文件后缀名实现动静分离
listen web_host
	bind 192.168.1.101:80
	mode http
	balance roundrobin
	log global
	option httplog

	acl php_server path_end -i .php
	use_backend php_server_host if php_server

	acl image_server path_end -i .jpg .png .jpeg .gif
	use_backend image_server_host if image_server

	default_backend default_web 
  
backend php_server_host
	mode http
	server web1 192.168.1.103 check inter 2000 fall 3 rise 5
  
backend image_server_host
	mode http
	server web1 192.168.1.104 check inter 2000 fall 3 rise 5
  
backend default_web
	mode http
	server web1 192.168.1.102:80 check inter 2000 fall 3 rise 5

验证：

root@z5:~# curl 192.168.1.101/test.php
test

mark

8. ACL-匹配访问路径实现动静分离
listen web_host
	bind 192.168.1.101:80
	mode http
	balance roundrobin
	log global
	option httplog
	
	acl static_path path_beg -i /static /images /javascript
	use_backend static_path_host if static_path
	
	default_backend default_web
	
backend static_path_host
	mode http
	server web1 192.168.1.104 check inter 2000 fall 3 rise 5

backend default_web
	mode http
	server web1 192.168.1.102:80 check inter 2000 fall 3 rise 5

当 访问 http://192.168.1.101/static/1.jpg 效果和上面的一样

9. ACL示例-基于ACL的HTTP访问控制
listen web_host
	bind 192.168.1.101:80
	mode http
	balance roundrobin
	log global
	option httplog
	
	acl static_path path_beg -i /static /images /javascript
	use_backend static_path_host if static_path
	
	acl badguy_deny src 192.168.1.102
	http-request deny if badguy_deny
	http-request allow
	default_backend default_web 

backend static_path_host
	mode http
	server web1 192.168.1.104 check inter 2000 fall 3 rise 5

backend default_web
	mode http
	server web1 192.168.1.102:80 check inter 2000 fall 3 rise 5

验证：

root@z2:~# curl --head http://192.168.1.101/static/1.jpg
HTTP/1.1 403 Forbidden
content-length: 93
cache-control: no-cache
content-type: text/html
connection: close
10. ACL示例-预定义ACL使用

官方文档

10.1：预定义ACL
ACL nameEquivalent toUsage
FALSEalways_falsenever match
HTTPreq_proto_httpmatch if protocol is valid HTTP
HTTP_1.0req_ver 1.0match HTTP version 1.0
HTTP_1.1req_ver 1.1match HTTP version 1.1
HTTP_CONTENThdr_val(content-length) gt 0match an existing content-length
HTTP_URL_ABSurl_reg [/:]*😕/match absolute URL with scheme
HTTP_URL_SLASHurl_beg /match URL beginning with “/”
HTTP_URL_STARurl *match URL equal to “*”
LOCALHOSTsrc 127.0.0.1/8match connection from local host
METH_CONNECTmethod CONNECTmatch HTTP CONNECT method
METH_DELETEmethod DELETEmatch HTTP DELETE method
METH_GETmethod GET HEADmatch HTTP GET or HEAD method
METH_HEADmethod HEADmatch HTTP HEAD method
METH_OPTIONSmethod OPTIONSmatch HTTP OPTIONS method
METH_POSTmethod POSTmatch HTTP POST method
METH_PUTmethod PUTmatch HTTP PUT method
METH_TRACEmethod TRACEmatch HTTP TRACE method
RDP_COOKIEreq_rdp_cookie_cnt gt 0match presence of an RDP cookie
REQ_CONTENTreq_len gt 0match data in the request buffer
TRUEalways_truealways match
WAIT_ENDwait_endwait for end of content analysis
10.2：预定义ACL使用

例子：当满足是静态文件且请求协议是http 1.1的才调度到存放静态资源的服务器上

listen web_host
	bind 192.168.1.101:80
	mode http
	balance roundrobin
	log global
	option httplog

	acl static_path path_beg -i /static /images /javascript
	use_backend static_path_host if HTTP_1.1 TRUE static_path 

	default_backend default_web 

backend php_server_host
	mode http
	server web1 192.168.1.103 check inter 2000 fall 3 rise 5

backend static_path_host
	mode http
	server web1 192.168.1.104 check inter 2000 fall 3 rise 5

backend default_web
	mode http
	server web1 192.168.1.102:80 check inter 2000 fall 3 rise 5

注意： acl的调用方式默认是“且“ , 而且还隐藏了"acl true" true 的关键字

上例中若是改为use_backend static_path_host if HTTP_1.0 TRUE static_path ，则不可以访问

mark

山贼王
关注
  • 0
    点赞
  • 踩
  • 1
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
Haproxy的ACL配置及案例
NancyLCL的博客
10-22 1737
配置解析：1. 如果访问的请求的URL路径的后缀名为" .jpg .jpeg .png .gif .html "，就匹配名为" static_page "的acl规则，如果条件成立，则调用名为" static_host "的后端配置，即静态配置。2. 如果访问的请求的URL路径的后缀名为" .php "，就匹配名为" update_page "的acl规则，如果条件成立，则调用名为" update_host "的后端配置，即动态配置。
**HAProxy ACL详解**
weixin_45377978的博客
01-18 1755
HAProxy ACL详解 官方文档： http://cbonte.github.io/haproxy-dconv/1.7/configuration.html 使用 ACLs，可以基于请求和响应的任何部分，进行服务内容的切换。总的原则如下： 定义测试准则 根据测试结果执行一定的动作，包括对请求进行拒绝，或者选择一个 backend acl 关键字用于定义一条新的测试准则，或者对一条已经存在的测试准则进行重新定义： acl [flags] [operator] … ： 指定对请求或者响应的某个部分进行
！！！！！！！！！！！！！！！HAProxy常用配置介绍，ACL详解 ！！！！！！！！！！！！！！！
m0_37477061的博客
04-26 124
https://blog.csdn.net/yujin2010good/article/details/75127533
Linux运维之HAProxy实现负载均衡（日志、监控、acl访问控制的配置）
qq_41830712的博客
04-23 607
一、haproxy是什么？ HAProxy是一个使用C语言编写的自由及开放源代码软件，其提供高可用性、负载均衡，以及基于TCP和HTTP的应用程序代理。 HAProxy特别适用于那些负载特大的web站点，这些站点通常又需要会话保持或七层处理。 HAProxy运行在当前的硬件上，完全可以支持数以万计的并发连接。并且它的运行模式使得它可以很简单安全的整合进您当前的架构中， 同时可以保护你的web服务器...
haproxy之ACL
wdirdo的博客
11-06 470
haproxy之ACL haproxy的ACL简介 1）访问控制列表（ACL，Access Control Lists）是一种基于包过滤的访问控制技术，它可以根据设定的条件对经过服务器传输的数据包进行过滤(条件匹配)，即对接收到的报文进行匹配和过滤，基于请求报文头部中的源地址、源端口、目标地址、目标端口、请求方法、URL、文件后缀等信息内容进行匹配并执行进一步操作，允许其通过或丢弃。 2)参考...
HAproxy配置（三）--ACL
xiaochenwj1995的博客
05-07 536
一、 HAproxy的acl简介 访问控制列表（ACL）的使用提供了一种灵活的解决方案，可以执行内容切换，并且通常根据从请求，响应或任何环境状态中提取的内容来做出决定。 acl <aclname> <criterion> [flags] [operator] [<value>] ... <aclname>：ACL names must be f...
haproxy acl mysql_Haproxy基于ACL做访问控制
weixin_39905695的博客
01-27 242
文章目录[隐藏]基于ACL做访问控制(四层代理)安装HAProxy基于ACL做访问控制(七层代理)拒绝curl访问web定义仅允许danran.com域内的的主机访问haproxy配置文档 https://cbonte.github.io/haproxy-dconv/基于ACL做访问控制(四层代理)网络拓扑环境前端HAProxy 172.16.253.108 后端web1 172.16.2...
haproxy acl
08-09
回答: HAProxy中的ACL（Access Control List）是用于根据请求报文的首部、响应报文的内容或其他环境状态信息来做出转发决策的工具。ACL可以定义一个测试条件，当条件满足时执行特定的动作，如阻止请求或转发到特定的...
Haproxy ACL规则
bjgaocp的博客
03-10 563
vim /usr/local/haproxy/conf/haproxy.conf frontend www01 bind 10.125.192.100:80 #1)下面两行实现301跳转 #需求1.aaa.com------&gt;nginx.aaa.com (301跳转) #（short_dom为自定义名称，hdr函数包含Host -i(不区分大小写)匹配aaa.com acl short_...
HAProxy配置文件详解和ACL功能.docx
06-27
haproxy几乎每个大版本都提供了官方手册(内容几乎都相同)，手册非常详细。proxy的灵魂在于配置文件，配置文件重点在于前端(frontend)和后端(backend)的定制。全局选项(global)的配置将默认提供的稍微修改下即可。可以使用haproxy命令行检查配置文件语法是否正确。
HAProxy常用配置介绍，ACL详解
wolf
07-14 3751
1、HAProxy简介 HAProxy 是一款高性能TCP/HTTP 反向代理负载均衡服务器，具有如下功能： 根据静态分配的cookies完成HTTP请求转发 在多个服务器间实现负载均衡，并且根据HTTP cookies 实现会话粘性 主备服务器切换 接受访问特定端口实现服务监控 实现平滑关闭服务，不中断已建立连接的请求响应，拒绝新的请求 在请求或响应
Haproxy中的acl的详解
vanexph的博客
06-15 3547
haproxy 能够从请求报文，响应报文，从客户端或者服务器端，从表，环境信息等中提取数据，提取这样的数据的动作我们称之为获取样本，进行检索时，这些样本可以用来实现各种目的，比如作为粘滞表的键，最常用的用途是，根据预定义的模式来进行匹配。访问控制列表（ACL）提供一个灵活方案进行内容切换，或者从请求，响应，任何环境状态中提取的数据基础之上做出决策，控制列表的原则很简单： 从数据流，表，环境中提取数据样本 对提取的样本可选的应用格式转换 对一个样本应用一个或多个模式匹配 当模式匹配样本时才执行动作 执行的动
haproxy配置文件详解和ACL功能
weixin_34321753的博客
03-03 301
HAProxy系列文章：http://www.cnblogs.com/f-ck-need-u/p/7576137.html haproxy几乎每个大版本都提供了官方手册(内容几乎都相同)，手册非常详细。例如haproxy 1.7版本关于配置文件的官方手册：http://cbonte.github.io/haproxy-dconv/1.7/configuration.html。 hapro...
haproxy的ACL详解
yurun_house的博客
06-16 1004
一：haproxy的ACL概述 haproxy的ACL用于实现基于请求报文的首部，响应报文的内容或其它的环境状态信息来做出转发决策，这大大增强了其配置弹性 其配置法则通常分为两步，首先去定义ACL即定义一个测试条件而后条件得到满足时执行某特定的动作，如阻止请求或转发至某特定的后端 二：ACL的语法格式及参数详解 acl <aclname> <criterion> [flags] [operator] <value> <aclname>: ACL 名称，区别
HAProxy系列—ACL详解
此博客已停用，博文会逐渐转移到新地址，http://blog.csdn.net/liupeifeng3514
11-27 1176
HAProxy常用配置介绍，ACL详解
HAProxy-acl
staight的博客
04-06 693
前言 acl是HAProxy中的一大项,它用于实现基于请求报文的首部,响应报文的内容或其它的环境状态信息来做出转发决策,这大大增强了其配置弹性 语法 acl &lt; aclname&gt; &lt; criterion&gt; [flags] [operator] [&lt; value&gt;] … &lt; aclname&gt; ACL名称,区分字符大小写,且其只能包含大小...
haproxy之ACL规则
w20010106的博客
01-08 7092
haproxy支持ACL规则 ，用于定义三层到七层的规则来匹配一些特殊的请求，实现基于请求报文首部、相应报文内容或者是一些其他状态信息，从而根据需求进行不同的策略转发响应。 可以通过ACL规则完成以下两种主要功能： 1、通过设置ACL规则来检查客户端请求是否符合规则，将不符合规则要求的请求直接中断； 2、符合ACL规则的请求由backend指定的后端服务器池执行基于ACL规则的负载均衡，不符合的可...
Haproxy的ACL介绍及应用实例
最新发布
ouqisheng的博客
08-11 781
访问控制列表ACL，Access Control Lists） 是一种基于包过滤的访问控制技术 它可以根据设定的条件对经过服务器传输的数据包进行过滤(条件匹配)即对接收到的报文进行匹配和过 滤，基于请求报文头部中的源地址、源端口、目标地址、目标端口、请求方法、URL、文件后缀等信息内 容进行匹配并执行进一步操作，比如允许其通过或丢弃。
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值