HAProxy理论+实验

最新推荐文章于 2024-09-14 16:13:49 发布
最新推荐文章于 2024-09-14 16:13:49 发布
阅读量1k 收藏 27
点赞数 36
分类专栏： 云原生高级 文章标签： 运维 linux haproxy acl
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/weixin_68256171/article/details/141094258
版权

目录

一、基于cookie的会话保持

1、配置选项

2、配置示例

3、验证cookie信息 

二、IP透传

1、layer4 与 layer7

（1）四层:IP+PORT转发

（2）七层:协议+内容交换

三、haproxy的ACL应用

1、ACL配置选项

（1）名称

（2）匹配规范

（3）匹配模式

（4）具体操作符

（5）操作对象

2、多个ACL的组合调用方式

（1）多个ACL的逻辑处理

（2）多个ACL调用方式      

四、自定义HAProxy错误界面

五、基于HTTP重定向错误页面

六、HAProxy四层负载

七、HAPRoxy https实现

1、证书制作

2、https配置

一、基于cookie的会话保持

cookie value:为当前server指定cookie值，实现基于cookie的会话黏性，相对于基于 source 地址hash 调度算法对客户端的粒度更精准，但同时也加大了haproxy负载，目前此模式使用较少，已经被session共享服务器代替

注意:不支持 tcp mode，使用 http mode

1、配置选项

cookie name [rewrite | insert l prefix ][ indirect ][ nocache ][ postonly ] [preserve ][httponly][secure ][ domain ]*[ maxidle <idle> ][ maxlife ]

        name                cookie的key名称，用于实现持久连接
        insert                插入新的cookie,默认不插入cookie
        indirect             如果客户端已经有cookie,则不会再发送cookie信息
        nocache           当client和hapoxy之间有缓存服务器(如:CDN)时，不允许中间缓存器缓存cookie，因为这会导致很多经过同一个CDN的请求都发送到同一台后端服务器

2、配置示例

[root@haproxy ~]# dnf install haproxy -y
[root@webserver1 ~]# dnf install nginx -y
[root@webserver2 ~]# dnf install nginx -y

[root@webserver1 ~]# echo webserver1 -- 172.25.254.10 > /usr/share/nginx/html/index.html
[root@webserver1 ~]# systemctl enable --now nginx
 
[root@webserver2 ~]# echo webserver2 -- 172.25.254.20 > /usr/share/nginx/html/index.html
[root@webserver2 ~]# systemctl enable --now nginx

3、验证cookie信息 

[root@haproxy ~]# vim /etc/haproxy/haproxy.cfg 
[root@haproxy ~]# systemctl restart haproxy.service

curl访问时指定cookie 

二、IP透传

web服务器中需要记录客户端的真实IP地址，用于做访问统计、安全防护、行为分析等场景。

IP透传需用到forwardfor参数

nginx可直接看到IP透传的效果，apache需添加参数才可看到 

echo webserver1 - 172.25.254.10 > /var/www/html/index.html
systemctl start httpd
cat /etc/httpd/logs/access_log        # 未添加参数时，看不到真实地址

vim /etc/httpd/conf/httpd.conf        # 主配置文件，添加 {X-Forwarded-For}

1、layer4 与 layer7

（1）四层:IP+PORT转发

        mode tcp

        在四层负载设备中，把client发送的报文目标地址(原来是负载均衡设备的IP地址)，根据均衡设备设置的选择web服务器的规则选择对应的web服务器IP地址，这样client就可以直接跟此服务器建立TCP连接并发送数据，而四层负载自身不参与建立连接，而和LVS不同，haproxy是伪四层负载均衡，因为haproxy需要分别和前端客户端及后端服务器建立连接

 

（2）七层:协议+内容交换

        mode http

        七层负载均衡服务器起了一个反向代理服务器的作用，服务器建立一-次TCP连接要三次握手，而client要访问Web Server要先与七层负载设备进行三次握手后建立TCP连接，把要访问的报文信息发送给七层负载均衡;然后七层负载均衡再根据设置的均衡规则选择特定的 Web Server，然后通过三次握手与此台Web Server建立TCP连接，然后Web Server把需要的数据发送给七层负载均衡设备，负载均衡设备再把数据发送给client;所以，七层负载均衡设备起到了代理服务器的作用，七层代理需要和Client和后端服务器分别建立连接

三、haproxy的ACL应用

访问控制列表ACL，Access Control Lists
是一种基于包过滤的访问控制技术
它可以根据设定的条件对经过服务器传输的数据包进行过滤(条件匹配)即对接收到的报文进行匹配和过滤，基于请求报文头部中的源地址、源端口、目标地址、目标端口、请求方法、URL、文件后缀等信息内容进行匹配并执行进一步操作，比如允许其通过或丢弃。

1、ACL配置选项

#用ac1来定义或声明一个ac1
acl    <aclname>     <criterion>        [flags]    [operator]        [<value>]
acl      名称          匹配规范           匹配模式     具体操作符         操作对象类型

（1）名称

acl        image_service         hdr_dom(host)        -i        img.magedu.com
#ACL名称，可以使用大字母A-Z、小写字母a-z、数字0-9、冒号:、点·、中横线和下划线，并且严格区分大小写。

（2）匹配规范

定义ACL匹配规范，即：判断条件

hdr string                提取在一个HTTP请求报文的首部
hdr([<name> [，<occ>]])    完全匹配字符串,header的指定信息，<occ>表示在多值中使用的值的出现次数
hdr_beg([<name> [,<occ>]]) 前缀匹配，header中指定匹配内容的begin
hdr_end[<name> [，<occ>]]) 后缀匹配，header中指定匹配内容end
hdr_dom([<name> [,<occ>]]) 域匹配，header中的domainname(host)
hdr_dir([<name> [,<0CC>]]) 路径匹配，header的uri路径
hdr_len([<name> [,<0CC>]]) 长度匹配，header的长度匹配
hdr_reg([<name> [,<occ>]]) 正则表达式匹配，自定义表达式(regex)模糊匹配
hdr_sub([<name> [,<occ>]]) 子串匹配，header中的uri模糊匹配 模糊匹配

#示例:
hdr(<string>)    用于测试请求头部首部指定内容
hdr_dom(host)    请求的host名称，如www.zx.org
hdr_beg(host)    请求的host开头，如www. img. video. download. ftp.
hdr_end(host)    请求的host结尾，如.com. net .cn
[root@haproxy ~]# vim /etc/haproxy/haproxy.cfg 
[root@haproxy ~]# systemctl restart haproxy.service

在Windows C:\Windows\System32\drivers\etc\hosts里添加解析

 基于域名的访问（有域名解析） 

 

base :string
#返回第一个主机头和请求的路径部分的连接，该请求从主机名开始，并在问号之前结束,对虚拟主机有用<scheme>://<user>:<password>@#<host>:<port>/<path>;<params>#?<query>#<frag>

base    :exact string match
base_beg:prefix match
base_dir:subdir match
base dom:domain match
base end:suffix match
base len:length match
base_reg:regex match
base sub:substring match

pathstring
#提取请求的URL路径，该路径从第一个斜杠开始，并在问号之前结束(无主机部分)
<scheme>://<user>:<password>@<host>:<port>#/<path>;<params>#?<query>#<frag>
path    :exact string match
path_beg :prefix match    #请求的URL开头，如/static、/images、/img、/css
path end :suffix match    #请求的URL中资源的结尾，如gif.png.cssjs.jpg .jpeg
path_dom:domain match
path_dir:subdir match
path len:length match
path_reg:regex match
path_sub:substring match

url :string
#提取请求中的整个URL。一个典型的应用是具有预取能力的缓存，以及需要从数据库聚合多个信息并将它们保存在缓存中的网页门户入口，推荐使用path
url:exact string match
url beg :prefix match
url_dir :subdir match
url_dom :domain match
url_end : suffix match
ur1_len :length match
url_reg :regex match
url_sub :substring match

dst        #目标IP
dst_port   #目标PORT
Src        #源IP
src_port   #源PORT

（3）匹配模式

        -i         不区分大小写
        -m       使用指定的正则表达式匹配方法

        -n        不做DNS解析
        -u        禁止ac1重名，否则多个同名ACL匹配或关系

（4）具体操作符

        整数比较:eq、ge、gt、le、lt
        字符比较:
                -exact match  (-m str):字符串必须完全匹配模式
                -substring match   (-m sub):在提取的字符串中查找模式，如果其中任何一个被发现，ACL将匹配

                - prefix match (-m beg):在提取的字符串首部中查找模式，如果其中任何一个被发现，ACL将匹配

                - suffix match (-m end):将模式与提取字符串的尾部进行比较，如果其中任何一个匹配，则ACL进行匹配
                - subdir match (-m dir):查看提取出来的用斜线分隔(“/")的字符串，如其中任一个匹配，则ACL进行匹配
                -domain match (-m dom):查找提取的用点(“.")分隔字符串，如果其中任何一个匹配，则ACL进行匹配

（5）操作对象

The AcL engine can match these types against patterns of the following types :
-Boolean #布尔值
-integer or integer range    #整数或整数范围，比如用于匹配端口范围
-IP address /network         #IP地址或IP范围，192.168.0.1,192.168.0.1/24
-string-->zx.org
exact        #精确比较
substring    #子串
suffix       #后缀比较
prefix       #前缀比较
subdir       #路径，/wp-includes/js/jquery/jquery.js
domain       #域名，www.timinglee.org
-regular expression    #正则表达式
-hex block   #16进制

2、多个ACL的组合调用方式

（1）多个ACL的逻辑处理

        与:隐式(默认)使用

        或:使用“or”或“|"表示

        否定:使用"!”表示

（2）多个ACL调用方式      

        if valid_src valid_port                #与关系，ACL中A和B都要满足为true，默认为与
        if invalid_src || valid_port          #或，ACL中A或者B满足一个为true
        if !invalid src                              #非，取反，不满足ACL才为true

四、自定义HAProxy错误界面

关闭后端的RS主机然后用浏览器去访问172.25.254.100

[root@haproxy ~]# vim /etc/haproxy/haproxy.cfg 
[root@haproxy ~]# systemctl restart haproxy.service

五、基于HTTP重定向错误页面

浏览器访问172.25.254.100自动跳转到百度

六、HAProxy四层负载

如果使用frontend和backend，一定在 frontend 和 backend 段中都指定mode tcp

listen mysql—port
bind *:3306
mode tcp
balance leastconn
server web1 172.25.254.10:3306 check
server web2 172.25.254.20:3306 check backup

或者使用frontend和backend实
frontend mysql_port
bind :3306
mode tcp
use_backend mysqi_rs

backend mysql_rs
mode tcp
balance leastconn
server web1 172.25.254.10:3306 check
server web2 172.25.254.20:3306 check

在后端服务器安装和配置mariadb服务

yum install mariadb-server

在另一台主机webserver2也做同样设置，将server-id设为2

[root@webserver1 ~]# mysql -e "grant all on *.* to zx@'%' identified by 'zx';"
[root@webserver2 ~]# mysql -e "grant all on *.* to zx@'%' identified by 'zx';"
[root@webserver1 ~]# mysql -uzx -pzx -h 172.25.254.100 -e "show variables like 'hostname'"

七、HAPRoxy https实现

haproxy可以实现https的证书安全,从用户到haproxy为https,从haproxy到后端服务器用http通信但基于性能考虑,生产中证书都是在后端服务器比如nginx上实现

1、证书制作

[root@haproxy ~]# mkdir -p /etc/haproxy/certs
[root@haproxy ~]# openssl req -newkey rsa:2048 --nodes -sha256 -keyout /etc/haproxy/certs/zx.org.key -x509 -days 365

2、https配置

frontend webserver
    bind *:80
    redirect scheme https if!{ssl_fc }
    mode http
    use backend webcluster

frontend webserver-https
    bind *:443 ssl crt/etc/haproxy/certs/zx.pem
    mode http
    use_backend webcluster

backend webcluster
    mode http
    balance roundrobin
    server webl 172.25.254.10:80 check inter 3s fall 3 rise 5
    server web2 172.25.254.20:80 check inter 3s fall 3 rise 5
[root@haproxy ~]# curl -IKL https://172.25.254.100

周湘zx
关注
专栏目录
haproxy总结与实验
weixin_45926941的博客
08-11 1050
算法状态使用协议使用场景static-rr静态tcp/http做了session共享的web集群first静态tcp/http使用较少roundrobin动态tcp/httpleastconn动态tcp/http数据库source其他tcp/httpuri其他http缓存服务器，CDN服务商，蓝汛、百度、阿里云、腾讯url_param其他http可以实现session保持hdr其他http基于客户端请求报文头部做下一步处理。
Haproxy详解以及基于Haproxy的高可用实战
szss2a的专栏
06-30 357
1.Haproxy与Keepalived VRRP 介绍 软件：haproxy---主要是做负载均衡的7层，也可以做4层负载均衡 apache----也可以做7层负载均衡，但是很麻烦。实际工作中没有人用。 负载均衡是通过OSI协议对应的 7层负载均衡：用的7层http协议， 4层负载均衡：用的是tcp协议加端口号做的负载均衡 更多热评好文关注作者：公-众号【老司机运维】，关注领取回复“k8s”领取马哥kubernetes(k8s)视频资料！！！ -------------...
haproxy基础理论+实验
weixin_45960401的博客
12-22 773
七层负载 haproxy 比较安全，速度较慢，调度器接收到client的报文后，会解析到应用层，并且会根据client请求的URL解析client需要的数据(index.php 或者html),会把当前的请求发送给适合处理这个请求的主机， haproxy可以拒绝请求 能实现七层负载的服务也必然可以实现四层负载 如果仅支持四层负载，那么支持不了七层负载...
理论+实验·Haproxy搭建Web群集
weixin_47153668的博客
09-04 404
理论+实验·Haproxy搭建Web群集 文章目录理论+实验·Haproxy搭建Web群集一、Haproxy调度算法1.1 常见的Web集群调度器1.2 Haproxy应用分析1.3 Haproxy调度算法原理二、Haproxy群集配置环境需求Nginx的安装与启动Haproxy配置文件详解listen配置项目一般为配置应用模块参数配置与测试测试Haproxy集群三、Haproxy日志管理四、Haproxy参数优化五、部署模拟实验搭建web服务器搭建Haproxy服务器定义日志 一、Haproxy调度算法
理论+实验：Haproxy搭建Web群集
CSDN著名博主
09-24 1088
Haproxy搭建Web群集一、常见的WEB集群调度器二、Haproxy应用分析三、Haproxy调度算法原理3.1、RR （Round Robin）3.2、LC (Least Connections)3.3、SH(Source Hashing)四、使用Haproxy搭建Web群集4.1、实验配置 一、常见的WEB集群调度器 目前常见的WEB集群调度器分为软件和硬件 软件通常使用LVS、Haproxy、Nginx 硬件一般使用比较多的是F5，也有很多人使用国内的一些产品，如梭子鱼、绿盟等。 二、Hapr
理论+实验 详解Haproxy搭建Web群集
Mr_ChenWJ的博客
10-21 530
目录一 Haproxy调度算法1.1 常见的Web集群调度器1.2 Haproxy应用分析1.3 Haproxy调度算法原理二 Haproxy群集配置2.1 案列拓扑图2.2 主机要求2.3 调试存储服务器2.4 Nginx的安装与启动2.5 Haproxy安装与启动三 Haproxy日志管理四 Haproxy参数优化 一 Haproxy调度算法 1.1 常见的Web集群调度器 ●目前常见的Web集群调度器分为软件和硬件 ●软件通常使用开源的LVS、 Haproxy、 Nginx ●硬件一般使用比较多的是F
数据库应用：Mycat+HAProxy+Keepalived实现高可用
cronaldo91的博客
07-23 319
目录一、理论1.高可用2.部署高可用二、实验1.Mycat+HAProxy+Keepalived实现高可用三、问题1.开启HA-Proxy失败 四、总结（1）概述①Mycat在实际项目中，服务也需要考虑高可用性，如果所在服务器出现宕机，或服务故障，需要有备机提供服务，需要考虑集群。②HAProxyHAProxv足一个使用C语言编写的自由及开放源代码软件，共提供高可用性、负载均衡，以及基于TCP和HTTP的应用程序代理。haproxy特别适用于那些负载特大的web站点，这些站点通常又需要会话保持或七层处理。H
Haproxy+nginx负载均衡配置
啊啊啊啊建的博客
09-12 642
Haproxy+nginx负载均衡配置
HAProxy新手入门级教程（理论+实验带你全方位深入理解）
m0_63022423的博客
08-11 457
HAProxy 是一个高性能的负载均衡器和代理服务器，广泛用于实现高可用性和可扩展性。：提供 SSL/TLS 终端，能加密客户端与 HAProxy 之间的通信，支持请求过滤和访问控制。HAProxy 常用于互联网服务、企业应用和高流量网站中，以确保服务的高可用性和性能。：支持多种负载均衡算法，如轮询、最少连接等，用于分发客户端请求到多个服务器上。：作为 HTTP 和 TCP 的反向代理，能够转发请求并处理来自客户端的连接。：支持健康检查，自动检测和剔除故障的服务器，确保高可用性。
Haproxy搭建Web群集——超详细的理论+实验！！！
CSDN著名博主
09-24 311
Haproxy搭建Web群集一、常见的WEB集群调度器二、Haproxy应用分析三、Haproxy调度算法原理3.1、RR （Round Robin）3.2、LC (Least Connections)3.3、SH(Source Hashing)四、使用Haproxy搭建Web群集4.1、环境配置4.2、存储服务器 192.168.100.244.2、Nginx服务器1 192.168.100.224.3、Nginx服务器2 192.168.100.234.4、Haproxy 服务器 192.168
haproxy
wx_18801017294的博客
09-07 656
HAproxy详解 一、三大开源负载均衡的软件 LVS负载均衡的特点 抗负载能力强。抗负载能力强、性能高，能达到F5硬件的60%；对内存和cpu资源消耗比较低 工作在网络4层，通过vrrp协议转发（仅作分发之用），具体的流量由linux内核处理，因此没有流量的产生。 稳定性、可靠性好，自身有完美的热备方案；（如:LVS+Keepalived） 应用范围比较广，可以对所有应用做负载均衡； 不支持正则处理，不能做动静分离。 支持负载均衡算法:rr（轮循）、wrr（带权轮循）、lc（最小连接）、wlc（权重最小连
Haproxy搭建
weixin_47622405的博客
11-24 321
Linux
Docker——Docker Compose编排(理论+实操)
weixin_51613313的博客
03-28 480
##环境部署所有主机安装docker环境(内容为docker基础) yum install -y docker-ce tree ##下载compose curl -L https://github.com/docker/compose/releases/download/1.21.1/docker-compose-uname -s-uname -m -o /usr/local/bin/docker-compose cp -p docker-compose /usr/local/bin/ chmod +x /
Haproxy负载均衡配置详解
m0_38100619的博客
07-09 783
常用开源软件负载均衡器有：Nginx、LVS、Haproxy。 三大主流软件负载均衡器对比(LVS VS Nginx VS Haproxy) LVS： 1、抗负载能力强。抗负载能力强、性能高，能达到F5硬件的60%；对内存和cpu资源消耗比较低 2、工作在网络4层，通过vrrp协议转发（仅作分发之用），具体的流量由linux内核处理，因此没有流量的产生。 2、稳定性、可靠性好，自身有完美的热备方案；（如：LVS+Keepalived） 3、应用范围比较广，可以对所有应用做负载均衡； 4、不支持正则处
镜像问题（k8s部署考试系统）
最新发布
m0_70848838的博客
09-14 814
如果使用containerd拉取不到镜像的话，就使用docker
SSHamble：一款针对SSH技术安全的研究与分析工具
FreeBuf_的博客
09-11 982
SSHamble是一款功能强大的SSH技术安全分析与研究工具，该工具基于Go语言开发，可以帮助广大研究人员更好地分析SSH相关的安全技术与缺陷问题。
如何解析域名到网站？
聚名网
09-11 403
用户通过输入易于记忆的域名来访问网站，而背后则是复杂的域名解析机制将域名转换为服务器的IP地址，使得浏览器能够找到并加载目标网站。顶级域名服务器：顶级域名服务器会返回负责该域名的权威DNS服务器的地址。返回结果：一旦本地DNS服务器获得了IP地址，它会将该信息缓存一段时间(TTL，生存时间)，然后将结果返回给用户的浏览器。用户输入域名：当用户在浏览器中输入一个域名并按下回车键时，浏览器会检查本地缓存，查看是否已经存储了该域名的IP地址。权威DNS服务器：存储特定域名的DNS记录，提供最终的IP地址。
keepalived++haproxy++++gtid
10-24
而haproxy是一款高性能的负载均衡软件，可以将请求分发到多个后端服务器上，从而提高系统的可用性和性能。gtid是MySQL数据库中的一个全局事务标识符，可以用来解决主从复制中的数据一致性问题。 在实际应用中，可以...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值