HAProxy

分层位置	四层负载均衡在传输层及以下，七层负载均衡在应用层及以下
性能	四层负载均衡架构无需解析报文消息内容，在网络吞吐量与处理能力上较高:七层可支持解析应用层报文消息内容，识别URL、Cookie、HTTP header等信息
原理	四层负载均衡是基于ip+port;七层是基于虚拟的URL或主机IP等
功能类比	四层负载均衡类似于路由器;七层类似于代理服务器
安全性	四层负载均衡无法识别DDoS攻击;七层可防御SYN Cookie/Hood攻击

正反代理

正向代理

位于客户端和目标服务器之间的一个代理服务器

工作原理

客户端向正向代理服务器发送请求，请求的目标是互联网上的某个服务器资源（比如某个网站）。

正向代理服务器接收到请求后，会代替客户端向目标服务器发起请求，并将获取到的响应返回给客户端。

例如：

你在公司内网中，无法直接访问某些外部网站，通过配置公司的正向代理服务器，就可以让代理服务器帮你去获取那些网站的内容并返回给你

主要作用

突破访问限制：比如在一些网络环境中，存在网络封锁或限制，通过正向代理可以绕过这些限制访问被封锁的资源。

提高访问效率：代理服务器可以缓存一些经常访问的资源，当客户端再次请求相同资源时，直接从代理服务器的缓存中返回，加快访问速度。

隐藏客户端真实信息：可以对客户端的 IP 地址等信息进行隐藏，一定程度上保护客户端的隐私

反向代理

反向代理是部署在目标服务器端，代表目标服务器接收并处理客户端请求的代理服务器

工作原理

客户端向反向代理服务器发送请求，对于客户端来说，它认为自己是在直接与目标服务器通信。

反向代理服务器接收到请求后，会根据一定的规则将请求转发到后端的一个或多个真实服务器上进行处理。

真实服务器处理完请求后，将结果返回给反向代理服务器，反向代理服务器再将结果返回给客户端。

例如：

当你访问大型网站如淘宝时，你实际上是在和淘宝的反向代理服务器通信，它会把你的请求分配到后端众多的服务器中进行处理

主要作用

负载均衡：可以将大量的客户端请求均衡地分发到多台后端服务器上，避免单台服务器负载过高，提高系统的整体性能和稳定性。

提供安全防护：隐藏了后端服务器的真实 IP 地址和拓扑结构等信息，减少了后端服务器直接受到外部攻击的可能性。

统一对外服务接口：对于客户端来说，只需要与反向代理服务器交互，简化了客户端的配置和使用，同时也便于对服务进行统一管理和维护

HAProxy实验环境的部署

### 三台虚拟机   环境：rhel9
### 一台做 haproxy    两台做real server

### haproxy
IP：172.25.254.100
vmset.sh eth0 172.25.254.200 haproxy.ccc.org

### real server    名称：webserver
IP：172.25.254.10
IP：172.25.254.20
vmset.sh eth0 172.25.254.10 webserver1.ccc.org
vmset.sh eth0 172.25.254.20 webserver2.ccc.org

### webserver1:
	dnf install nginx -y
### webserver2:
	dnf install nginx -y

### nginx默认发布文件的导入
echo webserver1 - 172.15.154.10 > /usr/share/nginx/html/index.html
systemctl enable --now nginx

echo webserver2 - 172.15.154.20 > /usr/share/nginx/html/index.html
systemctl enable --now nginx

HAProxy的基本部署方法

安装

### 在haproxy主机
dnf install haproxy -y

HAProxy的基本配置信息

HAProxy的配置文件haproxy.cfg由两大部分组成，分别是：

global:全局配置段

                        进程及安全配置相关的参数
                        性能调整相关参数
                        Debug参数

proxies:代理配置段

                        defaults: 为frontend, backend, listen提供默认配置
                        frontend: 前端，相当于nginx中的server)
                        backend: 后端，相当于nginx中的upstream
                        listen: 同时拥有前端和后端配置,配置简单,生产推荐使用

vim /etc/haproxy/haproxy.cfg
### 设定一个前端
frontend webcluster
	bind *:80	### 监听端口
	mode http
	use_backend webcluster-host		### 使用的后端
### 后端（没有后端检测的，没有设定）
backend webcluster-host		### 后端名称
	balance roundrobin		### 后端调度算法
	server web1 172.25.254.10:80
	server web2 172.25.254.20:80
### 重启
systemctl restart haproxy.service

### 也可以合并书写
Listen webcluster
	bind *:80		
	mode http		
	balance roundrobin
	server webl 172.25.254.10:80
	server web2 172.25.254.20:80

global配置

global配置参数说明

参数	类型	作用
chroot	全局	锁定运行目录
deamon	全局	以守护进程运行
user,group,uid,gid	全局	运行haproxy的用户身份
stats socket	全局	套接字文件
nbproc N	全局	开启的haproxy worker 进程数，默认进程数是一个
nbthread 1(和 nbpproc互斥)	全局	指定每个haproxy进程开启的线程数，默认为每个进程一个线程
cpu-map 1 0	全局	绑定haproxy worker 进程至指定CPU，将第1个work进程绑定至0号CPU
cpu-map 2 1	全局	绑定haproxy worker 进程至指定CPU，将第2个work进程绑定至1号CPU
maxconn N	全局	每个haproxy进程的最大并发连接数
maxssIconn N	全局	每个haproxy进程ssl最大连接数,用于haproxy配置了证书的场景下
maxconnrate N	全局	每个进程每秒创建的最大连接数量
spread-checks N	全局	后端server状态check随机提前或延迟百分比时间，建议2.5(20%-50%)之间，默认值0
pidfile	全局	指定pid文件路径
log 127.0.0.1 local2 info	全局	定义全局的syslog服务器:日志服务器需要开启UDP协议，最多可以定义两个

多进程和线程

多进程和socket文件配置如下

vim /etc/haproxy/haproxy.cfg

log    127.0.0.1 local12
    chroot    /var/lib/haproxy
    pidfile   /var/run/haproxy.pid
    maxconn   100000
    user      haproxy
    group     haproxy
    daemon


    #trun on stats unix socket
    stats socket /var/lib/haproxy/haproxy.sock1 mode 600 level admin process 1
#启用多个sock文件
    stats socket /var/lib/haproxy/haproxy.sock2 mode 600 level admin process 2
    nbproc 2    #启用多进程
    cpu-map 1 0    #进程和cpu核心绑定防止cpu抖动从而减少系统资源消耗
    cpu-map 2 1    #2 表示第二个进程，1表示第二个cpu核心

查看多进程信息

pstree -p | grep haproxy
|-haproxy(4816)-+-haproxy(4820)
                 -haproxy(4821)

启用多线程

vim /etc/haproxy/haproxy.cfg

log       127.0.0.1 1ocal2
    chroot    /var/lib/haproxy
    pidfile   /var/run/haproxy.pid
    maxconn   100000
    user      haproxy
    group     haproxy
    daemon

    
    # trun on stats unix socket
    stats socket /var/ib/haproxy/haproxy.sock1 mode 600 level admin process 1
#启用多个sock文件
    stats socket /var/ib/haproxy/haproxy.sock2 mode 600 level admin process 2
    nbthred 2    #启用多线程

haproxy的状态界面

### 内容
vim /etc/haproxy/haproxy.cfg

listen stats
    mode http
    bind 0.0.0.0:8888
    stats enable
    log global
    stats uri /haproxy-status
    stats auth lee:lee

proxies配置

参数	类型	作用
defaults	proxies	默认配置项，针对以下的frontend、backend和listen生效，可以多个name也可以没有name
frontend	proxies	前端servername，类似于Nginx的一个虚拟主机 server和LVS服务集群
backend	proxies	后端服务器组，等于nginx的upstream和LVS中的RS服务器
listen	proxies	将frontend和backend合并在一起配置，相对于frontend和backend配置更简洁，生产常用

proxies配置-defaults

参数	功能
mode http	HAProxy实例使用的连接协议
log global	指定日志地址和记录日志条目的syslog/rsyslog日志设备
option httplog	日志记录选项，httplog表示记录与 HTTP会话相关的各种属性值。包括HTTP请求、会话状态、连接数、源地址以及连接时间等
option dontlognull	dontlognull表示不记录空会话连接日志
option http-server-close	等待客户端完整HTTP请求的时间，此处为等待10s
option forwardfor except 127.0.0.0/8	透传客户端真实IP至后端web服务器；在apache配置文件中加入: %{X-Forwarded-For}i；后在webserer中看日志即可看到地址透传信息
option redispatch	当server Id对应的服务器挂掉后，强制定向到其他健康的服务器，重新派发
option http-keep-alive	开启与客户端的会话保持
retries 3	连接后端服务器失败次数
timeout http-request 1000s	等待客户端请求完全被接收和处理的最长时间
timeout queue 60s	设置删除连接和客户端收到503或服务不可用等提示信息前的等待时间
timeout connect 120s	设置等待服务器连接成功的时间
timeout client 600s	设置允许客户端处于非活动状态，即既不发送数据也不接收数据的时间
timeout server 600s	设置服务器超时时间，即允许服务器处于既不接收也不发送数据的非活动时间
timeout http-keep-alive 60s	session 会话保持超时时间，此时间段内会转发到相同的后端服务器
timeout check 10s	指定后端服务器健康检查的超时时间
maxconn 3000	最大连接数量限制
default-server inter 1000 weight 3	每隔 1000 毫秒对服务器的状态进行检查

Proxies配置-frontend

frontend配置参数

bind：指定HAProxy的监听地址，可以是IPV4或IPV6，可以同时监听多个IP或端口，可同时用于listen字段中

#格式：

    bind [<address>]:<port_range> [, ...] [param*]
#注意：如果需要绑定在非本机的IP，需要开启内核参数：net.ipv4.ip_nonlocal_bind=1

backlog <backlog> 
#针对所有server配置,当前端服务器的连接数达到上限后的后援队列长度，注意：不支持backend

frontend配置示例

vim /etc/haproxy/haproxy.cfg

frontend ch-webserver-80
    bind 172.25.254.100:80
    mode htto
    use_backend ch-webserver-80-RS     #说明backend的名称

Proxies配置-backend

定义一组后端服务器，backend服务器将被frontend进行调用。

注意:

backend 的名称必须唯一,并且必须在listen或frontend中事先定义才可以使用,否则服务无法启动

mode http|tcp     #指定负载协议类型,和对应的frontend必须一致

option            #配置选项

server            #定义后端real server,必须指定IP和端口

注意：

option后面加 httpchk，smtpchk,mysql-check,pgsql-check，ssl-hello-chk方法，可用于实现更多应用层检测功能

server配置

参数	解释
check	对指定real进行健康状态检查，如果不加此设置，默认不开启检查,只有check后面没有其它配置也可以启用检查功能；默认对相应的后端服务器IP和端口,利用TCP连接进行周期性健康性检查,注意必须指定端口才能实现健康性检查
addr <IP>	可指定的健康状态监测IP，可以是专门的数据网段，减少业务网络的流量
port <num>	指定的健康状态监测端口
inter <num>	健康状态检查间隔时间，默认2000 ms
fall <num>	后端服务器从线上转为线下的检查的连续失效次数，默认为3
rise <num>	后端服务器从下线恢复上线的检查的连续有效次数，默认为2
weight <weight>	默认为1，最大值为256，0(状态为蓝色)表示不参与负载均衡，但仍接受持久连接
backup	将后端服务器标记为备份状态,只在所有非备份主机down机时提供服务，类似Sorry
disabled	将后端服务器标记为不可用状态，即维护状态，除了持久模式
redirect prefix http://www.baidu.com/	将请求临时(302)重定向至其它URL，只适用于http模式
maxconn <maxconn>	当前后端server的最大并发连接数

代码示例

vim /etc/haproxy/haproxy.cfg

backend ch-webserver-80-RS
    mode http
    server web1 172.25.254.10:80 check inter 3s fall 3 rise 5
    server web2 172.25.254.20:80 check inter 3s fall 3 rise 5

socat工具

Socat是一个多功能的网络工具，它的名称是“Socket CAT”的缩写

功能

数据传输与转发：
- 它可以在不同类型的数据流之间建立连接并进行数据传输。例如，可以在两个网络端口之间建立连接，实现数据从一个端口到另一个端口的转发。
- 也能在不同的协议之间进行数据转换和传输，比如将一个 TCP 连接的数据转发到一个 UDP 连接。
端口监听与连接：
- 可以监听本地或远程的端口。当有数据到达监听端口时，Socat 会按照配置进行相应的处理。
- 能够主动连接到远程的端口或服务，并进行数据交互。
文件与网络连接的交互：
- 可以将文件与网络连接关联起来。比如，可以将文件的内容通过网络连接发送出去，或者将网络上接收到的数据写入文件。
- 这对于数据的备份、日志记录等操作非常有用

应用场景

网络调试：
- 在开发网络应用程序时，如果需要模拟网络环境或测试不同网络配置下的应用程序行为，Socat 是一个很有用的工具。
- 可以通过它来创建特定的网络连接和数据传输场景，帮助开发者发现和解决潜在的问题。
网络隧道搭建：
- 可以用来创建各种类型的网络隧道，例如通过将本地端口的数据转发到远程服务器的端口，实现类似 VPN 的功能（当然，它不能提供完整的 VPN 所具有的加密等高级功能，但可以实现基本的数据隧道）。
设备通信模拟：
- 在一些物联网或嵌入式系统开发中，可能需要模拟设备之间的通信。Socat 可以用来创建虚拟的通信链路，模拟设备之间的数据交换，方便进行系统测试和开发

HAProxy算法

HAProxy通过固定参数 balance 指明对后端服务器的调度算法

balance参数可以配置在 listen 或 backend 选项中

HAProxy的调度算法分为静态和动态调度算法

有些算法可以根据参数在静态和动态算法中相互转换

静态算法

按照事先定义好的规则轮询公平调度，不关心后端服务器的当前负载、连接数和响应速度等，且无法实时修改权重（只能为0和1,不支持其它值），只能靠重启HAProxy生效

static-rr 基于权重的轮询调度

不支持运行时利用socat进行权重的动态调整（只支持0和1，不支持其它值）

不支持端服务器慢启动

其后端主机数量没有限制，相当于LVS中的wrr

注意：

慢启动是指在服务器刚刚启动时不会把它所应该承担的访问压力全部给它，而是先给一部分，当没有问题后再给一部分

示例

vim /etc/haproxy/haproxy.cfg
### 内容
listen webcluster
   bind *:80
   mode http
   #balance first
   balance static-rr
   server  web1 172.25.254.10:80 check inter 2 fall 3 rise 5 weight 2
   server  web2 172.25.254.20:80 check inter 2 fall 3 rise 5 weight 1

first

根据服务器在列表中的位置，自上而下进行调度

其只会当第一台服务器的连接数达到上限，新请求才会分配给下一台服务

其会忽略服务器的权重设置

不支持用socat进行动态修改权重，可以设置0和1,可以设置其它值但无效

示例

vim /etc/haproxy/haproxy.cfg 
### 内容
listen webcluster
   bind *:80
   mode http
   balance first
   server  web1 172.25.254.10:80 maxconn inter 3s fall 3 rise 5 
   server  web2 172.25.254.20:80 check inter 3s fall 3 rise 5

动态算法

基于后端服务器状态进行调度适当调整

新请求将优先调度至当前负载较低的服务器

权重可以在haproxy运行时动态调整无需重启

静态算法后端Real Server个数不限

roundrobin

基于权重的轮询动态调度算法

支持权重的运行时调整，不同于Ivs中的rr轮训模式

HAProxy中的roundrobin支持慢启动(新加的服务器会逐渐增加转发数)

其每个后端backend中最多支持4095个real server

支持对real server权重动态调整

roundrobin为默认调度算法，此算法使用广泛

示例

vim /etc/haproxy/haproxy.cfg
### 内容
listen webcluster
   bind *:80
   mode http
   balance roundrobin
   server  web1 172.25.254.10:80 check inter 3s fall 3 rise 5
   server  web2 172.25.254.20:80 check inter 3s fall 3 rise 5

leastconn

leastconn加权的最少连接的动态

支持权重的运行时调整和慢启动（相当于LVS的wlc），即：根据当前连接最少的后端服务器而非权重进行优先调度(新客户端连接)

比较适合长连接的场景使用，比如：MySQL等场景

注意：

当两个主机的连接数差不多的时候优先给权重高的，权重是次考虑的

示例

vim /etc/haproxy/haproxy.cfg
### 内容
listen webcluster
   bind *:80
   mode http
   balance leastconn
   server  web1 172.25.254.10:80 check inter 3s fall 3 rise 5
   server  web2 172.25.254.20:80 check inter 3s fall 3 rise 5

其他算法

source

源地址hash，基于用户源地址hash并将请求转发到后端服务器，后续同一个源地址请求将被转发至同一个后端web服务器。此方式当后端服务器数据量发生变化时，会导致很多用户的请求转发至新的后端服务器，默认为静态方式，但是可以通过hash-type支持的选项更改这个算法一般是在不插入Cookie的TCP 模式下使用，也可给拒绝会话cookie的客户提供最好的会话粘性，适用于session会话保持但不支持 cookie和缓存的场景源地址有两种转发客户端请求到后端服务器的服务器选取计算方式，分别是取模法和一致性hash

示例

vim /etc/haproxy/haproxy.cfg 
### 内容
listen webcluster
   bind *:80
   mode http
   balance source
   server  web1 172.25.254.10:80 check inter 3s fall 3 rise 5
   server  web2 172.25.254.20:80 check inter 3s fall 3 rise 5

map-base 取模法

对source地址进行hash计算，再基于服务器总权重的取模，最终结果决定将此请求转发至对应的后端服务器

此方法是静态的，即不支持在线调整权重，不支持慢启动，可实现对后端服务器均衡调度

缺点:

当服务器的总权重发生变化时，即有服务器上线或下线，都会因总权重发生变化而导致调度结果整体改变，hash-type指定的默认值为此算法

取模运算：计算两个数相除之后的余数 10%7=3

一致性hash

一致性哈希（Consistent Hashing）是一种分布式哈希算法，主要用于在分布式系统中进行数据存储和负载均衡等方面

当服务器的总权重发生变化时，对调度结果影响是局部的，不会引起大的变动hash（0）mod n

该hash算法是动态的，支持使用 socat等工具进行在线权重调整，支持慢启动

一致性hash示意图

后端服务器在线与离线的调度方式

hash环偏斜问题

在一致性哈希（Consistent Hashing）中可能出现的一种情况

产生原因：

1、节点分布不均匀

2、数据分布依赖键值

带来的影响：

1、负载不均衡

2、数据倾斜

解决方法：

1、改进哈希函数

2、虚拟节点技术

hash对象

hash对象到后端服务器的映射关系：

uri

基于对用户请求的URI的左半部分或整个uri做hash，再将hash结果对总权重进行取模后，根据最终结果将请求转发到后端指定服务器

适用于后端是缓存服务器场景

默认是静态算法，也可以通过hash-type指定map-based和consistent，来定义使用取模法还是一致性hash

urI-param

url_param对用户请求的url中的 params 部分中的一个参数key对应的value值（路径中的？形式）作hash计算，并由服务器总权重相除以后派发至某挑出的服务器

通常用于追踪用户，以确保来自同一个用户的请求始终发往同一个real server

如果无没key，将按roundrobin算法

hdr

针对用户每个 http 头部(header)请求中的指定信息做 hash

此处由 name 指定的 http 首部将会被取出并做 hash 计算

然后由服务器总权重相除以后派发至某挑出的服务器，假如无有效的值，则会使用默认的轮询调度

算法总结

### 静态
static-rr    --->    tcp/http
first        --->    tcp/http

### 动态
roundrobin    --->    tcp/http
leastconn     --->    tcp/http
random        --->    tcp/http

### 动态还是静态，取决于 hash_type 是否 consistent
source        --->    tcp/http
uri           --->    http
url_param     --->    http
hdr           --->    http

各算法使用场景

first    ### 使用较少
static-rr    ### 做了 session 共享的 web 集群
roundrobin    ### 做了 session 共享的 web 集群
random        ### 做了 session 共享的 web 集群
leastconn       ### 数据库
source        ### 会话保持

### 基于客户端公网 IP 的会话保持
uri    --->    http        ### 缓存服务器，CDN 服务商，蓝汛、百度、阿里云、腾讯
url_param    --->    http        ### 可以实现session保持
hdr            ### 基于客户端请求报文头部做下一步处理

高级功能及配置

基于cookie的会话保持

cookie value

为当前server指定cookie值，实现基于cookie的会话粘性，相对于基于 source 地址 hash调度算法对客户端的粒度更精确，但同时也加大了haproxy的负载

注意：

不支持 tcp mode，使用 http mode

配置示例

vim /etc/haproxy/haproxy.cfg
### 内容
listen webcluster
   bind *:80
   mode http
   balance roundrobin
   cookie WEBCOOKIE insert nocache indirect
   server  web1 172.25.254.10:80 cookie web1 check inter 3s fall 3 rise 5
   server  web2 172.25.254.20:80 cookie web2 check inter 3s fall 3 rise 5

HAProxy状态页

通过web界面，显示当前HAProxy的运行状态

状态页配置项

stats enable	基于默认的参数启用stats page
stats hide-version	将状态页中 haproxy 版本隐藏
stats refresh <delay>	设定自动刷新时间间隔，默认不自动刷新
stats uri <prefix>	自定义 stats page uri,默认值：/haproxy?stats
stats auth <user>:<passwd>	认证时的账户和密码，可以自定义多个用户，每行指定一个用户默认：no authentication
stats admin { if \| unless } <cond>	启用stats page中的管理功能

启用状态页

vim /etc/haproxy/haproxy.cfg
### 内容
listen stats:
    mode http
    bind 0.0.0.0:8888
    stats enable
    log global
    stats uri /status        ### 自定义 stats page uri
    stats auth ch:ch        ### 认证

IP透传

IP透传，即IP（网络协议）穿透，也被称为IP Passthrough、IP直通等

IP透传是一种网络技术，它允许一个网络设备将来自外部网络的IP数据包直接传递给内部网络中的特定设备，而不对数据包进行过多的修改或处理（除了一些必要的网络层转发操作）。简单来说，就是让外部网络能够直接与内部网络中的某个设备进行通信，就好像这个设备直接暴露在外部网络中一样

web服务器中需要记录客户端的真实IP地址，用于做访问统计、安全防护、行为分析、区域排行等场景

四层负载

针对除HTTP以外的TCP协议应用服务访问的应用场景

Mysql Redis Memache RabbitMQ

#相关操作
#webserver1和webserver2
#安装mariadb
dnf install mariadb-server -y


#webserver1
vim /etc/my.conf.d/mariadb-server.cnf
在[mysqld]下添加内容，便于区分
server-id=1
#启动
systemctl start mariadb
#登录查看
mysql
SELECT @@server_id
;


#webserver2
vim /etc/my.conf.d/mariadb-server.cnf
在[mysqld]下添加内容，便于区分
server-id=2
#启动
systemctl start mariadb
#登录查看
mysql
SELECT @@server_id
;


#haproxy主机
#登录
mysql -uroot -h 172.25.254.10
#发现登录不上，因为没有远程登录的用户
#webserver1主机
CREATE USER ch@'%' identified by 'ch';
GRANT ALL ON *.* TO lee@'%';
#webserver2主机
CREATE USER ch@'%' identified by 'ch';
GRANT ALL ON *.* TO lee@'%';
#haproxy主机
#登录
mysql -uch -p -h 172.25.254.10
#输入密码 ch


#haproxy主机
vim /etc/haproxy/haproxy.conf
#写入内容
listen dbserver
	bind *:3306
	mode tcp
	balance roundrobin
	server db1 172.25.254.10:3306 check inter 2 fall 2 rise 5
	server db2 172.25.254.20:3306 check inter 2 fall 2 rise 5
#退出
#重启
systemctl restart haproxy.service
#测试

自定义HAProxy错误界面

示例

#先停掉前面的服务
#webserver1
systemctl stop httpd
#webserver2
systemctl stop nginx
#然后去浏览器访问172.25.254.100
#发现出现页面503
#过滤一下看看503页面在哪里
rpm -ql haproxy | grep http

#自定义错误页面
errorfile <code> <file>
解释：
	<code>	#HTTP status code,支持200，400，403，405，408，425，429，500，502，503，504
	<file>	#包含完整HTTP响应头的错误页面文件的绝对路径，建议后缀".http"，和一般的html文件相区分
示例：
	errorfile 503 /haproxy/errorpages/503page.http
解释：
	当你出现503报错，就进入/haproxy/errorpages/503page.http

示例：
mkdir /etc/haproxy/errorpages/badpage.http
#写入内容
HTTP/1.0 503 Service Unavailable
Cache-Control: no-cache
Connection: close
Content-Type: text/html;charset=UTF-8

<html><body><h1>什么动物生气最安静</h1>
大猩猩！！
</body></html>
#退出
#指定
vim /etc/haproxy/haproxy.conf
#添加内容，在global里面写
errorfile 503 /etc/haproxy/errorpages/badpage.http
#重启
systemctl restart haproxy.service 
#再去浏览器访问172.25.254.100测试

HAProxy https实现

haproxy可以实现https的证书安全，从用户到haproxy为https，从haproxy到后端服务器用http通信

但基于性能考虑，生产中证书都是在后端服务器，比如nginx上实现

示例

证书制作
#在haproxy主机上，建立一个放密钥的地方
mkdir -p /etc/haproxy/certs

#生成密钥
openssl req -newkey rsa:2048 -nodes -sha256 -keyout /etc/haproxy/certs/ccc.org.key -x509 -days 365 -out /etc/haproxy/certs/ccc.org.crt
#然后开始填信息
#完成后查看
ls /etc/haproxy/certs/
#导入
cat /etc/haproxy/certs/ccc.org.key /etc/haproxy/certs/ccc.org.crt > /etc/haproxy/certs/ccc.pem
#查看key
cat /etc/haproxy/certs/ccc.pem

#配置参数修改
vim /etc/haproxy/haproxy.cfg
#添加内容
listen web-https
	bind *:443 ssl crt /etc/haproxy/certs/ccc.pem
	mode http
	balance roundrobin
	server web1 172.25.254.10:80 check inter 2 fall 2 rise 5
	server web2 172.25.254.20:80 check inter 2 fall 2 rise 5
#重启
systemctl restart haproxy.service 
#启动后端服务
#webserver1
systemctl start httpd.service
#webserver2
systemctl start nginx.service
#浏览器访问https://172.25.254.100测试

#全站加密
vim /etc/haproxy/haproxy.cfg
#修改内容
frontend webcluster
	bind *:80
	mode http
	redirect scheme https if !{ ssl_fc }
#重启
systemctl restart haproxy.service
#浏览器访问172.25.254.100测试