haproxy最全知识点总结

一.负载均衡

1.1.负载均衡是什么

负载均衡，英文名称为Load Balance，其含义就是指将负载（工作任务）进行平衡、分摊到多个操作单元上进行运行，例如FTP服务器、Web服务器、企业核心应用服务器和其它主要任务服务器等，从而协同完成工作任务。负载均衡构建在原有网络结构之上，它提供了一种透明且廉价有效的方法扩展服务器和网络设备的带宽、加强网络数据处理能力、增加吞吐量、提高网络的可用性和灵活性。

1.2.负载均衡的优点

1.web服务器的动态水平扩展–>对用户无感知

2.增加业务并发访问及处理能力–>解决单服务器瓶颈问题

3.节约公网IP地址–>降低IT支出成本

4.隐藏内部服务器IP–>提高内部服务器安全性

5.配置简单–>固定格式的配置文件

6.功能丰富–>支持四层和七层,支持动态下线主机

7.性能较强–>并发数万甚至数十万

1.3负载均衡的类型

1.3.1.四层负载均衡

1.3.1.1什么是四层负载均衡

所谓四层负载均衡，也就是主要通过报文中的目标地址和端口，再加上负载均衡设备设置的服务器选择方式，决定最终选择的内部服务器。
以常见的TCP为例，负载均衡设备在接收到第一个来自客户端的SYN 请求时，选择一个最佳的服务器，并对报文中目标IP地址进行修改(改为后端服务器IP），直接转发给该服务器。TCP的连接建立，即三次握手是客户端和服务器直接建立的，负载均衡设备只是起到一个类似路由器的转发动作。在某些部署情况下，为保证服务器回包可以正确返回给负载均衡设备，在转发报文的同时可能还会对报文原来的源地址进行修改。、

1.3.1.2.四层负载均衡特点

1.四层负载均衡仅能转发TCP/IP协议、UDP协议、通常用来转发端口，如：tcp/22、udp/53；
2.四层负载均衡可以用来解决七层负载均衡端口限制问题；（七层负载均衡最大使用65535个端口号）
3.四层负载均衡可以解决七层负载均衡高可用问题；（多台后端七层负载均衡能同时的使用）
4.四层的转发效率比七层的高得多，但仅支持tcp/ip协议，不支持http和https协议；
5.通常大并发场景通常会选择使用在七层负载前面增加四层负载均衡

1.3.2.七层负载均衡

七层负载均衡在高级应用层运行，会涉及每个消息的实际内容。HTTP 是面向互联网网站流量的主要七层协议。七层负载均衡器路由网络流量的方式比四层负载均衡器复杂得多，特别适用于基于 TCP 的流量，例如 HTTP。七层负载均衡器会截住网络流量并读取其中的消息。它能够根据消息内容（例如 URL 或 cookie）做出负载均衡决策。然后，七层负载均衡器再与选定的上游服务器建立新的 TCP 连接（或通过 HTTP keepalives 重用现有的连接)，并将请求写入服务器。

1.3.3四层负载均衡和七层负载均衡的区别

7层负载均衡相较于4层负载均衡在更耗费性能的同时，也获得了更加智能的优点，由于在应用层进行识别，所以7层负载均衡可以基于不同的协议（如http、radius、dns等）进行负载，也可以根据应用层协议中有意义的内容来进行负载，如：除了根据IP加端口进行负载外，还可根据七层的URL、浏览器类别、语言来决定是否要进行负载均衡

二.haproxy

2.1实验环境搭建

主机	ip
haproxy	172.25.254.100
webserver1	172.25.254.10
webserver2	172.25.254.20

2.1.1安装nginx

[root@webserver1 ~]# dnf install nginx -y
[root@webserver2 ~]# dnf install nginx -y

2.1.2配置文件

[root@webserver1 ~]# echo webserver1 - 172.25.254.10 > /usr/share/nginx/html/index.html
[root@webserver1 ~]# systemctl enable --now nginx
[root@webserver2 ~]#  echo webserver1 - 172.25.254.10 > /usr/share/nginx/html/index.html
[root@webserver2 ~]# systemctl enable --now nginx

2.1.3测试

2.2.haproxy的基本部署及负载均衡的实现

2.2.1.安装haproxy

[root@haproxy ~]# dnf install haproxy -y

2.2.2global配置

参数	类型	作用
chroot	全局	锁定运行目录
deamon	全局	以守护进程运行
user,group,uid,gid	全局	运行haproxy的用户身份
stats,socket	全局	套接字文件
nbproc N	全局	开启的haproxy worker 进程数,默认进程数是一个
nbthread 1(和nvproc互斥)	全局	指定每个haproxy进程开启的线程数,默认为每个进程一个线程
cpu-map1 0	全局	绑定haproxy worker进程至指定的cpu,将第一个work进程绑定到0号cpu
cpu-map 2 1	全局	绑定haproxt worker进程至指定的cpu,将第二个worker进程绑定到1号cpu
maxconn N	全局	每个haproxy进程的最大并发连接数
maxsslconn N	全局	每个haproxy进程ssl最大连接数,用于haproxy配置了证书的场景下
maxconnrate N	全局	每个进程每秒创建的最大连接数量
spread-checks N	全局	后端server状态check随机提前或延迟百分比时间,建议2-5(20%-50%)之间,默认值为0
pidfile	全局	指定pid文件路径
log 127.0.0.1 local2 info	全局	定义全局的syslog服务器,日志服务器需要开启UDP协议,最多可以定义两个

2.3.proxies配置

参数	类型	作用
defaults[]	proxies	默认配置,针对以下的frontend,backend和insten生效,可以多个name也可以没有name
frontend	proxies	前端servername,类似Nginx的一个虚拟主机,server和LVS服务集群
backend	proxies	#后端服务器组,等于nginx的upstream和LVS中的LVS服务器
listen	proxies	将frontend和backend合并在一起配置,相当于frontend和backend配置更简洁,生产使用

即每隔两秒检测一次

上限次数为5，权重为2和1

测试：

web1和web2停止nginx服务：

[root@webserver1 ~]# systemctl stop nginx.service
[root@webserver2 ~]# systemctl stop nginx.service

测试：

配置backend：

改端口号，避免重复

测试网页是否能使用

配置haproxy.conf

测试：

打开nginx服务：

[root@webserver2 ~]# systemctl start nginx.service

结果：

disabled:使指定的realserver下线

重启服务

[root@haproxy ~]# systemctl restart haproxy.service

测试：已经没有10

2.4.配置frontend

或者将两者合并

测试：

结果也是没问题的

2.5.全局配置

在文件中编写多进程

[root@haproxy ~]# vim /etc/haproxy/haproxy.cfg

二进程

即第一个线程（0）使用第一个核心，第二个线程（1）使用第二个核心

结果：

多线程：

注意：nbproc不能和nbthread一起使用

2.6.日志定向

注意：需打开udp协议

三.haproxy的算法

HAProxy通过固定参数 balance 指明对后端服务器的调度算法

balance参数可以配置在listen或backend选项中

HAProxy的调度算法分为静态和动态调度算法

有些算法可以根据参数在静态和动态算法中相互转换。

3.1.静态算法

静态算法：按照事先定义好的规则轮询公平调度，不关心后端服务器的当前负载、连接数和响应速度 等，且无法实时修改权重(只能为0和1,不支持其它值)，只能靠重启HAProxy生效。

3.1.1.static-rr：基于权重的轮询调度

1.不支持运行时利用socat进行权重的动态调整(只支持0和1,不支持其它值)

2.不支持端服务器慢启动

3.其后端主机数量没有限制，相当于LVS中的 wrr

测试：

3.1.2.first

1.根据服务器在列表中的位置，自上而下进行调度

2.其只会当第一台服务器的连接数达到上限，新请求才会分配给下一台服务

3.其会忽略服务器的权重设置

4,不支持用socat进行动态修改权重,可以设置0和1,可以设置其它值但无效

测试：

3.2.动态算法

1.基于后端服务器状态进行调度适当调整

2.新请求将优先调度至当前负载较低的服务器

3.权重可以在haproxy运行时动态调整无需重启

3.2.1.roundrobin

1.基于权重的轮询动态调度算法
2.支持权重的运行时调整，不同于lvs中的rr轮训模式
3.HAProxy中的roundrobin支持慢启动(新加的服务器会逐渐增加转发数)
4.其每个后端backend中最多支持4095个real server
5.支持对real server权重动态调整
6.roundrobin为默认调度算法,此算法使用广泛

测试：

3.2.2.leastconn

1.leastconn加权的最少连接的动态

2.支持权重的运行时调整和慢启动，即:根据当前连接最少的后端服务器而非权重进行优先调度(新客户 端连接)

3.比较适合长连接的场景使用，比如：MySQL等场景

测试：

3.3.其他算法

其它算法即可作为静态算法，又可以通过选项成为动态算法

3.3.1.source

源地址hash，基于用户源地址hash并将请求转发到后端服务器，后续同一个源地址请求将被转发至同一 个后端web服务器。此方式当后端服务器数据量发生变化时，会导致很多用户的请求转发至新的后端服 务器，默认为静态方式，但是可以通过hash-type支持的选项更改这个算法一般是在不插入Cookie的TCP 模式下使用，也可给拒绝会话cookie的客户提供最好的会话粘性，适用于session会话保持但不支持 cookie和缓存的场景源地址有两种转发客户端请求到后端服务器的服务器选取计算方式，分别是取模法和一致性hash

测试：

3.3.1.1map-base 取模法

map-based：取模法，对source地址进行hash计算，再基于服务器总权重的取模，最终结果决定将此请 求转发至对应的后端服务器

此方法是静态的，即不支持在线调整权重，不支持慢启动，可实现对后端服务器均衡调度

缺点是当服务器的总权重发生变化时，即有服务器上线或下线，都会因总权重发生变化而导致调度结果 整体改变

hash-type 指定的默值为此算法

所谓取模运算，就是计算两个数相除之后的余数，10%7=3, 7%4=3 map-based算法：基于权重取模，hash(source_ip)%所有后端服务器相加的总权重

3.3.1.2.一致性hash

一致性哈希，当服务器的总权重发生变化时，对调度结果影响是局部的，不会引起大的变动hash（o） mod n

该hash算法是动态的，支持使用 socat等工具进行在线权重调整，支持慢启动

1.后端服务器哈希环点keyA=hash(后端服务器虚拟ip)%(2^32)
2.客户机哈希环点key1=hash(client_ip)%(2^32)     得到的值在[0---4294967295]之间
3.将keyA和key1都放在hash环上，将用户请求调度到离key1最近的keyA对应的后端服务器

测试：

3.3.2.uri

基于对用户请求的URI的左半部分或整个uri做hash，再将hash结果对总权重进行取模后 根据最终结果将请求转发到后端指定服务器 适用于后端是缓存服务器场景

默认是静态算法，也可以通过hash-type指定map-based和consistent，来定义使用取模法还是一致性hash

注意:此算法基于应用层，所以只支持 mode http ，不支持 mode tcp

测试：

uri一致性配置：

[root@webserver1 ~]# echo 172.25.254.10 - index1.html > /usr/share/nginx/html/index1.html
[root@webserver1 ~]# echo 172.25.254.10 - index2.html > /usr/share/nginx/html/index2.html
[root@webserver1 ~]# echo 172.25.254.10 - index3.html > /usr/share/nginx/html/index3.html
[root@webserver2 ~]# echo 172.25.254.20 - index1.html > /usr/share/nginx/html/index1.html
[root@webserver2 ~]# echo 172.25.254.20 - index2.html > /usr/share/nginx/html/index2.html
[root@webserver2 ~]# echo 172.25.254.20 - index3.html > /usr/share/nginx/html/index3.html

测试：

3.3.3.url_param

url_param对用户请求的url中的 params 部分中的一个参数key对应的value值作hash计算，并由服务器 总权重相除以后派发至某挑出的服务器,后端搜索同一个数据会被调度到同一个服务器，多用与电商

通常用于追踪用户，以确保来自同一个用户的请求始终发往同一个real server

如果无key，将按roundrobin算法

测试：

url_param一致性hash配置：

修改权重

测试：

3.3.4.hdr

针对用户每个http头部(header)请求中的指定信息做hash， 此处由 name 指定的http首部将会被取出并做hash计算， 然后由服务器总权重取模以后派发至某挑出的服务器，如果无有效值，则会使用默认的轮询调度。

测试：

四.高级功能及配置

4.1.基于cookie的会话保持

cookie value:为当前server指定cookie值,实现基于cookie的会话粘性,相对于source地址hash调度算法对客户端的粒度更精准,但同时也加大了haproxy负载,目前此模式使用较少,已经被session共享服务器替代

注意: 不支持tcp mode,使用http mode

配置：

测试：

4.2.HAProxy状态页

启用状态页：

测试：

输入账号和密码

添加刷新值，（刷新值越小，刷新速度越快，haproxy压力越大）

测试：

登录状态页:

#pid为当前pid号，process为当前进程号，nbproc和nbthread为一共多少进程和每个进程多少个线程
pid = 27134 (process #1, nbproc = 1, nbthread = 1)
#启动了多长时间
uptime = 0d 0h00m04s
#系统资源限制：内存/最大打开文件数/

system limits: memmax = unlimited; ulimit-n = 200029
#最大socket连接数/单进程最大连接数/最大管道数maxpipes
maxsock = 200029; maxconn = 100000; maxpipes = 0
#当前连接数/当前管道数/当前连接速率
current conns = 2; current pipes = 0/0; conn rate = 2/sec; bit rate = 0.000 kbps
#运行的任务/当前空闲率
Running tasks: 1/14; idle = 100 %
active UP： #在线服务器
backup UP： #标记为backup的服务器
active UP, going down： #监测未通过正在进入down过程
backup UP, going down： #备份服务器正在进入down过程
active DOWN, going up： #down的服务器正在进入up过程
backup DOWN, going up： #备份服务器正在进入up过程
active or backup DOWN： #在线的服务器或者是backup的服务器已经转换成了down状态
not checked： #标记为不监测的服务器
#active或者backup服务器人为下线的
active or backup DOWN for maintenance (MAINT)
#active或者backup被人为软下线(人为将weight改成0)
active or backup SOFT STOPPED for maintenance

4.3.IP透传

web服务中需要记录客户端的真实IP地址,用于做访问统计,安全防护,行为分析,区域排行等场景

4.3.1.layer 4与layer 7

4.3.1.1四层负载

在四层负载设备中,把client发送到报文目标地址(原来是负载均衡设备的IP地址),根据均衡设备设置的选择web服务器的规则选择对应的web服务器IP地址,这样client就可以直接跟此服务器建立TCP连接并发送数据,而四层负载自身不参与建立连接,而和LVS不同,haproxy是伪四层负载均衡,因为haproxy需要分别和前端客户及后端服务器建立连接

4.3.1.2.七层代理

七层负载均衡服务器起了一个反向代理服务器的作用,服务器建立一次TCP连接要三次握手,而client要访问web server要先与七层负载设备进行三次握手后建立TCP连接,把要访问的报文信息发送给七层负载均衡,然后七层负载均衡再根据设置的均衡规则选择特定的web server,然后通过三次握手与此台web server建立TCP连接,然后web server把需要的数据发送给七层负载均衡设备,负载均衡设备再把数据发送给client,所以,七层负载均衡设备起到了代理服务器的作用,七层代理需要和client和后端服务器分别建立连接

4.3.2.四层IP透传

将http改为tcp

测试：

在webserver2上添加:

测试：

4.3.3七层IP透传

当haproxy工作在七层的时候,也可以透传客户端真实IP至后台服务器

4.3.3.1.HAProxy配置

在由haproxy发往后端主机的请求报文中添加"X-Forwareded-For"首部,其值为前端客户端的地址;用于向后端主发送真实的客户端IP

4.3.3.2.配置httpd服务

[root@webserver1 ~]# systemctl disable nginx
Removed "/etc/systemd/system/multi-user.target.wants/nginx.service".
[root@webserver1 ~]# systemctl stop nginx.service
[root@webserver1 ~]# dnf install httpd
[root@webserver1 ~]# echo webserver1 - 172.25.254.10 > /var/www/html/index.html
[root@webserver1 ~]# systemctl start httpd
[root@webserver1 ~]# cat /etc/httpd/logs/access_log
172.25.254.100 - - [12/Aug/2024:22:09:28 +0800] "GET / HTTP/1.1" 200 27 "-" "curl/8.4.0"
[root@webserver1 ~]# vim /etc/httpd/conf/httpd.conf
[root@webserver1 ~]# systemctl restart httpd

 LogFormat "%{X-Forwarded-For}i %h %l %u %t \"%r\" %>s %b \"%{Referer}i\" \"%{User-Agent}i\"" combined
[root@webserver1 ~]# cat /etc/httpd/logs/access_log
172.25.254.100 - - [12/Aug/2024:22:09:28 +0800] "GET / HTTP/1.1" 200 27 "-" "curl/8.4.0"
172.25.254.1 172.25.254.100 - - [12/Aug/2024:22:23:40 +0800] "GET / HTTP/1.1" 200 27 "-" "curl/8.4.0"
172.25.254.1 172.25.254.100 - - [12/Aug/2024:22:23:41 +0800] "GET / HTTP/1.1" 200 27 "-" "curl/8.4.0"

4.4.ACL

访问控制列表ACL(Access Control Lists)

是一种基于包过滤的访问控制技术

它可以根据设定的条件对经过服务器传输的数据包进行过滤(条件匹配)即对接收得到的报文进行匹配和过滤,基于请求报文头部中的源地址,源端口,目标地址,目标端口,请求方法,URL,文件后缀等信息内容进行匹配并执行进一步操作,比如允许其通过或丢弃

4.4.1.ACL配置选项

#用acl来定义或声明一个acl
acl    <aclname>    <criterion>    [flags]    [opertor]    [<value>]
acl        名称        匹配规范    匹配模式  具体操作符        操作对象类型

4.4.2.ACL-Name名称

acl    image_service    hdr_dom(host)    -i    img.lanjinli.com
#ACL名称,可以使用大写字母A-Z,小写字母a-z,数字0-9,冒号:,点.,中横线和下划线,并且严格区分大小写,比如:my_acl和My_Acl就是两个完全不同的acl5.8.1.2 ACL-criterion

4.4.3.CL-criterion 匹配规范

hdr string，提取在一个HTTP请求报文的首部
hdr（[<name> [，<occ>]]）：完全匹配字符串,header的指定信息，<occ> 表示在多值中使用的值的出
现次数
hdr_beg（[<name> [，<occ>]]）：前缀匹配，header中指定匹配内容的begin
hdr_end（[<name> [，<occ>]]）：后缀匹配，header中指定匹配内容end
hdr_dom（[<name> [，<occ>]]）：域匹配，header中的dom（host）
hdr_dir（[<name> [，<occ>]]）：路径匹配，header的uri路径
hdr_len（[<name> [，<occ>]]）：长度匹配，header的长度匹配
hdr_reg（[<name> [，<occ>]]）：正则表达式匹配，自定义表达式(regex)模糊匹配
hdr_sub（[<name> [，<occ>]]）：子串匹配，header中的uri模糊匹配 模糊匹配c 报文中a/b/c也会匹
配
#示例：
hdr(<string>) 用于测试请求头部首部指定内容
hdr_dom(host) 请求的host名称，如 www.timinglee.org
hdr_beg(host) 请求的host开头，如 www. img. video. download. ftp.
hdr_end(host) 请求的host结尾，如 .com .net .cn
#示例：
acl bad_agent hdr_sub(User-Agent) -i curl wget
http-request deny if bad_agent
#有些功能是类似的，比如以下几个都是匹配用户请求报文中host的开头是不是www
acl short_form hdr_beg(host) www.
acl alternate1 hdr_beg(host) -m beg www.
acl alternate2 hdr_dom(host) -m beg www.
acl alternate3 hdr(host) -m beg www.
base : string
#返回第一个主机头和请求的路径部分的连接，该请求从主机名开始，并在问号之前结束,对虚拟主机有用
<scheme>://<user>:<password>@#<host>:<port>/<path>;<params>#?<query>#<frag>
base : exact string match
base_beg : prefix match
base_dir : subdir match
base_dom : domain match
base_end : suffix match
base_len : length match
base_reg : regex match
base_sub : substring match
path : string
#提取请求的URL路径，该路径从第一个斜杠开始，并在问号之前结束（无主机部分）
<scheme>://<user>:<password>@<host>:<port>#/<path>;<params>#?<query>#<frag>
path : exact string match
path_beg : prefix match #请求的URL开头，如/static、/images、/img、/css
path_end : suffix match #请求的URL中资源的结尾，如 .gif .png .css .js .jpg .jpeg
path_dom : domain match
path_dir : subdir match
path_len : length match
path_reg : regex match
path_sub : substring match
#示例：
path_beg -i /haproxy-status/
path_end .jpg .jpeg .png .gif
path_reg ^/images.*\.jpeg$
path_sub image
path_dir jpegs
path_dom timinglee
url : string
#提取请求中的整个URL。
url ：exact string match
url_beg : prefix match
url_dir : subdir match
url_dom : domain match
url_end : suffix match
url_len : length match
url_reg : regex match
url_sub : substring match
dst #目标IP
dst_port #目标PORT
src #源IP
src_port #源PORT
#示例：
acl invalid_src src 10.0.0.7 192.168.1.0/24
acl invalid_src src 172.16.0.0/24
acl invalid_port src_port 0:1023
status : integer #返回在响应报文中的状态码
#七层协议
acl valid_method method GET HEAD
http-request deny if ! valid_method

4.4.4.ACL-flags 匹配模式

-i 不区分大小写
-m 使用指定的正则表达式匹配方法
-n 不做DNS解析
-u 禁止acl重名，否则多个同名ACL匹配或关系4

4.4.5.ACL-operator 具体操作符

整数比较：eq、ge、gt、le、lt
字符比较：
- exact match (-m str) :字符串必须完全匹配模式
- substring match (-m sub) :在提取的字符串中查找模式，如果其中任何一个被发现，ACL将匹配
- prefix match (-m beg) :在提取的字符串首部中查找模式，如果其中任何一个被发现，ACL将匹配
- suffix match (-m end) :将模式与提取字符串的尾部进行比较，如果其中任何一个匹配，则ACL进行
匹配
- subdir match (-m dir) :查看提取出来的用斜线分隔（“/"）的字符串，如其中任一个匹配，则ACL
进行匹配
- domain match (-m dom) :查找提取的用点（“."）分隔字符串，如果其中任何一个匹配，则ACL进行
匹配 

4.5.自定义haproxy错误界面

4.5.1.关闭nginx和httpd服务

[root@webserver1 ~]# systemctl stop httpd

[root@webserver2 ~]# systemctl stop nginx

[root@haproxy ~]# rpm -ql haproxy | grep http
/usr/share/doc/haproxy/design-thoughts/http2.txt
/usr/share/doc/haproxy/design-thoughts/http_load_time.url
/usr/share/doc/haproxy/internals/http-cookies.txt
/usr/share/doc/haproxy/internals/http-docs.txt
/usr/share/doc/haproxy/internals/http-parsing.txt
/usr/share/doc/haproxy/option-http_proxy.cfg
/usr/share/haproxy/400.http
/usr/share/haproxy/403.http
/usr/share/haproxy/408.http
/usr/share/haproxy/500.http
/usr/share/haproxy/502.http
/usr/share/haproxy/503.http
/usr/share/haproxy/504.http

错误文件

[root@haproxy ~]# mkdir /etc/haproxy/errorpage -p
[root@haproxy ~]# vim /etc/haproxy/errorpage/503.http
[root@haproxy ~]# vim /etc/haproxy/haproxy.cfg

基于http重定向错误页面：

defaults
    mode                    http
    log                     global
    option                  httplog
    option                  dontlognull
    option http-server-close
    option forwardfor       except 127.0.0.0/8
    option                  redispatch
    retries                 3
    timeout http-request    10s
    timeout queue           1m
    timeout connect         10s
    timeout client          1m
    timeout server          1m
    timeout http-keep-alive 10s
    timeout check           10s
    maxconn                 3000
#   errorfile 503 /etc/haproxy/errorpage/bedpage.http
    errorloc 503 https://www.baidu.com
...
[root@haproxy ~]# systemctl restart haproxy.service 

4.6.HAProxy 四层负载

针对除HTTP以外的TCP协议应用服务访问的应用场景

在webserver1和webserver2上安装mariadb-server 

dnf install mariadb-server -y

修改配置：

[root@webserver1 ~]# vim /etc/my.cnf.d/mariadb-server.cnf

启动服务：

[root@webserver1 ~]# systemctl start mariadb

web2:

分别在web1和web2上创建用户：

测试：

4.7.HAProxy https 实现

haproxy可以实现https的证书安全,从用户到haproxy为https,从haproxy到后端服务器用http通信 但基于性能考虑,生产中证书都是在后端服务器比如nginx上实现

生成证书：

[root@haproxy ~]# mkdir -p /etc/haproxy/certs
[root@haproxy ~]# openssl req -newkey rsa:2048 -nodes -sha256 -keyout /etc/haproxy/certs/timinglee.org.key -x509 -days 365 -out /etc/haproxy/certs/timinglee.org.crt
.+...+.+..............+.+.........+..+......+...+........................+..........+......+..+............+...+...+.+......+.........+........+.+......+......+..+...+.......+..+.+...+.....+....+........+.......+......+.....+.+.........+.....+.+.....+.+..+...............+.+.........+...........+....+........+...............+....+...+........+...+.+.........+.....+....+..+..........+++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++*....+.+.....+.......+..+.......+...+...+..................+..+..........+..+.........................+........+...+......+.+++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++*.............+............+...+.......+......+......+...+...........+.+.....+.+++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++
..+......+..+...+...+....+............+........+.+..+...+......+.+.....+.......+++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++*...+.......+...............+++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++*........+.........+.....+......+...+.+......+.....+.........+.+...........+...+....+..+....+...............+...........+...+.+..+............+.+......+.....+...+.+............+...+.........+...+........+.+.........+.....+....+..+.+..+...+............+.....................+++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++
-----
You are about to be asked to enter information that will be incorporated
into your certificate request.
What you are about to enter is what is called a Distinguished Name or a DN.
There are quite a few fields but you can leave some blank
For some fields there will be a default value,
If you enter '.', the field will be left blank.
-----
Country Name (2 letter code) [XX]:CN
State or Province Name (full name) []:Shannxi
Locality Name (eg, city) [Default City]:Xi'An
Organization Name (eg, company) [Default Company Ltd]:timinglee
Organizational Unit Name (eg, section) []:webserver
Common Name (eg, your name or your server's hostname) []:www.timinglee.org
Email Address []:admin@timinglee.org

[root@haproxy ~]# ls /etc/haproxy/certs/
timinglee.org.crt  timinglee.org.key

导入文件并加密：

[root@haproxy ~]# cat /etc/haproxy/certs/timinglee.org.key  /etc/haproxy/certs/timinglee.org.crt >  /etc/haproxy/certs/timinglee.pem
[root@haproxy ~]# cat /etc/haproxy/certs/timinglee.pem

listen web-https
	bind *:443 ssl crt /etc/haproxy/certs/lanjinli.pem
	mode http
	balance roundrobin
	server web1 172.25.254.10:80 check inter 2 fall 2 rise 5
	server web2 172.25.254.20:80 check inter 2 fall 2 rise 5