haproxy反代负载均衡

21232asa

haproxy是用于实现作为后端反代以实现负载均衡器。
实现负载均衡有多种方案：可在tcp层即四层和应用层即七层实现负载均衡：
四层：lvs也是工作在四层的；
七层：nginx、ats等多种软件工具；

haproxy域lvs相比，调度能力肯定是不如lvs，因为lvs工作在内核空间，与后端real server通信时，没有套接字数量和连接的限制，可以调度海量客户端的请求；而haproxy是工作在七层，毕竟基于套接字实现与real server通信的；但是，haproxy正因为基于七层，可以根据http协议中的首部的任何header进行调度，所以haproxy的调度粒度远远比lvs要精细的多。

在七层实现调度负载均衡器的除了haproxy，还有比较常用的nginx，二者其实不分伯仲，完全根据跟人喜欢择其一用之。只不过，它们的调度概念是相似的。与nginx所不同之处在于，nginx工作是master/worker模型，由多个worker负责响应处理用户请求，master只负责把用户请求接进来；而HAProxy的单一进程，一个进程可以处理数以万计的请求；

这也正是因为，nginx的worker中有一个锁机制，内部还有个负载均衡机制，当用户请求到达时，多个worker轮流的响应，如果不是由前端master调度的，判断worker中谁处理下一次请求，则谁持有了锁，谁才能接收请求的；所以只要是多进程模型必须有锁限制机制；因此，多进程模型会消耗大量内存空间，会受到前端主控进程的调度能力以及锁等资源的共同限制；而HAProxy是单一进程。

HAProxy性能特性：
        1.单进程、事件驱动模型显著降低了上下文切换的开销及内存占用；
        2.事件检查器(event checker)允许其在高并发连接中对任何连接的任何事件实现即时探测；
        3.在任何可用的情况下，单缓冲(single buffering)机制能以不复制任何数据的方式完成读写操作，这会节约大量的cpu时钟周期及内存带宽；
        4.MRU（最近最多使用）内存分配器在固定大小的内存池中可实现即时内存分配，这能够显著减少创建一个会话的时长；
        5.树型存储：侧重于使用作者多年前开发的弹性二叉树，实现了以O(log(N))的低开销来保持计时器命令、保持运行队列命令及管理轮询及最少连接队列；
        6.优化的HTTp首部分析：优化的首部分析功能避免了在http首部分析过程中重读任何内存区域；
        7.精心地降低了昂贵的系统调用，大部分工作都在用户空间完成，如时间读取、缓冲聚合及文件描述符的启用和禁用等；

软件特性：只是http协议的反向代理，不提供缓存功能，但额外支持对tcp层对基于tcp通信的应用做LB；

使用场景：适合用于大型互联网外网或者内网4&7层负载均衡；

衡量负载均衡器的关键指标：
        可以从三个因素来评估负载均衡器的性能：
        1.会话率；指定是会话创建、删除的能力，每秒钟可以创建新会话的数量；
        2.会话并发能力；可以同时持有的会话数量；
        3.数据处理速度

haproxy安装：
centos6.4+版本已经把haproxy软件包收录到base源中。
配置文件：/etc/haproxy/haproxy.cfg
环境配置文件：/etc/sysconfig/haproxy

]# yum -y install haproxy
]# rpm -ql haproxy 可查看相关文件存放路径

haproxy配置：大体分两部分
global：全局段，定义haproxy进程工作特性
    进程及安全配置相关的参数
    性能调整相关的参数
    Debug参数
proxies:代理段
    defaults：为代理提供默认设置；
    listen=frontend+backend
    frontend：定义前端
    backend：定义后端

defaults 默认代配置段


可对比nginx作为反代负载均衡器时的配置结构：
upstream BACKEND_SERVER1 {
        ip_hash;
        server ...;
        server ...;
}

upstream BACKEND_SERVER2 {
        leastconn;
        server ...;
        server ...;
}

upstream fcgi {
        server ...;
        server ...;
}
server {
        listen
        location URI {
                proxy_pass http://BACKEND_SERVER1;
        }

        location \.(php)$ {
                fastcgi_pass fastcgi://fcgi;
        }

}

server {
        location URI {
                proxy_pass http://BACKEND_SERVER2;
        }
可见，其实与nginx的配置段功能完全相似，只不过表现方式略有不同而已。
haproxy中的linsten指令相当于nginx中的fastcgi_pass，专门反代后端固定的主机。
而haproxy中的frontend指令相当于nginx中的server指令，设置前端供客户端访问主机的各属性。
还有haproxy中的backend指令就相当于nginx中的upstream指令，设置后端主机的各属性。
最后，default是haproxy中设定默认设置的，如果在frontend、backend和listen中都没设置属性值，则它们将继承default中设定的值。

haproxy配置中有很多指令，但是指令是有使用位置的限制的，就是在不同的配置段中使用不同的相应指令。例如有些指令不能用在backend段，有些不能用在frontend，还有些指令不能用在default中。

使用listen设置简单的反代：
物理机使用win7系统，虚拟机使用centos7系统
haproxy反代服务器：172.18.11.111
后端主机：172.18.11.11
后端主机：172.18.11.12

在后端提供http服务，测试页面：
]# vim /var/www/html/index.html
<h1>RS1 172.18.11.11</h1>
]# vim /var/www/html/index.html
<h1>RS2 172.18.11.12</h1>

]# vim /etc/haproxy/haproxy.cfg
在backend app配置段，最后添加：

listen web *:80 #定义前端监听的服务名为web，端口80；
    balance roundrobin #调度算法为加权轮询
    server web-RS1 172.18.11.11:80 check #后端主机名自定义为web-RS1，check为进行健康状态检测；
    server web-RS2 172.18.11.12:80 check

listen stats *:9001 #添加了haproxy的状态页面，名称定义为stats，端口设为9001；
    stats enable #启用状态页面；
    stats uri /haproxyadmin?stats #此项指令，可以省略，为默认路径，建议修改；
    stats realm haproxy\ statistics #设置访问状态页时认证，提示信息，带空格要使用转义符；
    stats auth admin:pass #设定登录名admin，密码为pass；
    stats admin if TRUE #如果认证成功，开启页面管理接口；

浏览器测试：http://172.18.11.111/
多次刷新，交替显示：
RS1 172.18.11.11
RS2 172.18.11.12

设定访问状态页认证时，显示haproxy状态页：


global配置参数：
log：定义全局的syslog服务器，最多可定义两个，用于实现将haproxy产生的日志发往此服务器予以存储；
maxconn <number>：设定单个haproxy进程所能接受的最大并发连接数；其等同于命令行选项-n；ulimit -n自动计算的结果正是参照此参数设定的；
其它选项，一般都不需要设定。


代理相关的参数：
分四段：
        defaults：用于为listen/frontend/backend提供默认值；
        frontend <name>：定义监听的套接字（一个前端），可以有多个端口，用于接收客户端请求并与之建立连接；类似于nginx的server；
        backend <name>：定义后端服务器组，类似于nginx的upstream server，用于处理由frontend转发来的用户请求；
        listen <name>：通过关联前端和后端，定义一个完整的proxy server；通常用在tcp流量上；

        注意：所有代理都应该有名称

name：名字可使用大小写字母，数字，下划线(_)，短横线(-)，点号，冒号；
bind：指明监听的套接字；设定监听的ip和端口；用在frontend,listen,backend中；
    bind [<address>]:<port_range> [,...]
    bind /<path> [, ...] [param*]
其中，address和port不走过多解释了，就是设置ip地址和端口，<path>表示使用unix socket套接字文件，用于linux本机通信；

balance：设定调度方法，用在default,listen,backend中；
    balance <algorithm> [<arguments>]  使用指定的调度算法；
    balance url_param <param> [check_post [<max_wait>]] 指定基于url的参数做调度；

<algorithm>：调度算法
roundrobin：动态算法，（加权）轮询；
        权重可动态调整动态生效；根据权重轮流使用每个服务器，支持权重的运行时调整及慢启动机制，最大支持4095个后端主机；默认权重为1；其它使用hash调度方式的都支持动静两种方式；动态算法指的是服务器权重，可以在运行时调整，以实现实例的慢启动；所以可以加新server进来，而且可定义权重且可动态调整，不会瞬间调度大量请求，时逐渐调度请求上来的；服务器权重不同时就是加权轮询，相同时就是轮询；

static-rr：静态加权轮询；
        静态算法，不支持权重的运行时调整及慢启动机制；权重在服务器运行时改变了也不生效，除非重启服务器，而重启会导致此前所有连接断开，然后才重新调度的；但后端主机无数量上限；当服务器掉线时，健康状态检测又恢复上线时，立即加入服务器列表中取，且立即调度大量连接请求至此服务器，没有慢启动功能；而roundrobin则会慢慢调度请求至服务器；

leastconn：加权最少连接；动态算法；
        后端具有最少连接数的服务器将接收到请求，根据后端服务器当前连接的活动个数少来调度；
        haproxy一般推荐使用在较长时间会话场景中；例如，LDAP,MySQL等协议；并不适用用短时间连接，不是特别适用指的是由于leastconn在计算调度权重时，还得扫描后端服务器当前会话数量，所以性能有影响，消耗cpu资源，但是带来的收益是很低的；
        支持权重的动态改变，支持慢启动，属于wlc调度算法；对于短时间的连接不超过5秒钟，或2秒，一般建议使用roundrobin算法；

first：
        根据服务器在列表中的位置，自上而下进行调度；前面的服务器连接数达到上限时，才将新请求调度至下一个服务器；这种算法好处在于可省服务器；要保证单台服务器支撑多个连接时没有问题，性能还支撑一个没有什么区别时会很有用；
        每一个后端主机要定义最大并发连接数上限；在定义最大连接数时可以定义在三个位置：全局的最大并发连接数上限、每个frontend或listen的最大并发连接数上限、后端主机最大并发连接数上限；

        适用于会话较长的tcp连接；例如LDAP，MySQL等；

source：
        相当于nginx的ip-hash或lvs的sh算法，原地址哈希hash，默认为取模法；静态调度；类似于uri算法，指不过是哈希的源ip，而不是uri；
        将来自于同一个地址的请求，始终发往同一台后端主机；

        取模法：将原地址哈希计算后除以服务器总权重最后取模；结果落在哪个节点上，就有哪个节点发往器响应；服务器总数发生变化，会话会全局失效，会影响全局调度效果；在分布式场景中是相当不靠谱，尤其后端是缓存服务器时；默认为静态的，但是可使用hash-type指令设定支持动态；

        一致性哈希：服务器变得仅影响局部调度；动态调度；第一次调度时，基于取模法进行调度，一旦分配了服务器，后面再访问时将始终发往同一台服务器；通常用在tcp模式中；没有插入cookie时才会使用；如果协议支持cookie插入，就可以根据cookie进行调度，实现会话保持；

uri：基于uri做hash计算
先回顾下URL的完整格式，才能正确理解uri的调度算法；
URL的语法格式：
<scheme>://<user>:<password>@<host>:<port>/<path>;<params>?<query>#<frag>
解释：
<scheme> 表示使用的协议
<user>:<password>@<host>:<port> 要求认证，指定用户名、密码、主机名或ip、端口
;<params> 分号隔开的是参数，传递给请求的参数；
例如：
        ftp://downloads.magedu.com/pub/gnu;type=d
        http://www.magedu.com/hammers;sale=false/index.html;graphics=true
?<query> 问号隔开的是查询串，指定向数据库发起查询条件；
http://www.joes-hardware.com/inventory-check.cgi?item=12731
        查询数据库item为12731的项目，返回给inventory-check.cgi这个脚本，再由此脚本处理以后的结果返回给客户端；
#<frag> 片段，同一页面上的不同段落锚点；

再来看uri的调度算法：
url_param：基于url指定参数做hash计算
对用户请求的uri中的<params>中的参数的值做hash计算，并由服务器的总权重相除取模后派发至某挑选出的后端主机；此算法通常用于追踪请求中的用户标识，尤其是登录类的电商站点，以确保来自同一个用户的请求始终发往同一个后端服务器；支持动静两种方式，使用hash-type指定；

hdr(<name>)：指定某一首部做hash计算
类似于nginx中的hash，可哈希请求报文中的任意首部，即可以基于任意首部做调度；
例如：

listen web
    bind *:80,*:8080
    balance hdr(Host)
    hash-type consistent
    server web-RS1 172.18.11.11:80 check weight 1
    server web-RS2 172.18.11.12:80 check weight 2

hash-type指令，指定对什么进行哈希计算：
hash-type <method> <function> <modifier>
其中：<method>包括map-based和consistent；
map-based：就是取模法；默认方法，是静态算法，不支持权重运行时调整及慢启动；
consistent：就是一致性哈希算法，动态算法，支持权重运行时调整及慢启动；

cookie <name> [ rewrite | insert | prefix ] [ indirect ] [ nocache ]
           [ postonly ] [ preserve ] [ httponly ] [ secure ]
           [ domain <domain> ]* [ maxidle <idle> ] [ maxlife <life> ]
启用基于cookie的持久连接功能；
注意，不是用来管理用户通信中的cookie，而是启用与后端服务器通信时持久连接功能；

server <name> <address>[:[port]] [param*]
定义后端主机中的服务器及其参数；

<name>：服务器的内部名称，仅在haproxy中使用；主要作用会出现在日志及警告信息中，可用来判断故障服务器，如果设定了http-send-server-name，它还将被添加至发往此服务器的请求首部当中；
<address>：服务器的ip地址，支持使用主机名；
[:[port]]：端口映射；省略时，表示与bind的端口相同；

[param*]：可选参数；
backup：设定为备用服务器，相当于sorry server；仅在所有服务器均不可用时，才启用；
check：对后端服务器做健康状态检测，无check时，表示假设后端主机始终可用，同时可使用辅助参数有很多；健康状态检测又三种：网络层检测、传输层检测（端口在未必服务正常，精确度不高）、应用层检测；
addr：通过此地址进行健康状态检测；
port <port>：通过此端口进行健康状态检测；
inter <delay>：连续两次检测之间的时间间隔，默认2000毫秒；每隔多长时间做一次健康检测；
fall <count>：连续多少次的失败检测将标记服务器检测为dead；默认3次；
rise <count>：连续多少次的成功检测将标记服务器为available；默认2次；
httpchk：基于http协议进行健康状态检测；是独立的参数进行设置；类似的还有"smtpchk", "mysql-check", "pgsql-check" and "ssl-hello-chk"分别用来定义7层检测的；

check-ssl：与后端通信使用ssl协议时此行用到；
disabled：表示禁用，类似于varnish中标记为down状态；
id <value>：为每个服务器设置一个持久ID，是基于id的会话粘性才会用到；
maxconn <maxconn>：当前服务器支持的最大并发连接数，超出此值的连接将被放置请求队列中；
maxqueue <maxqueue>：当前服务器的队列上限；
minconn <minconn>：如果设定了此参数，那么，最大值就成为动态的，可以根据后端服务器负载状态动态调整；

on-error <mode>：当判断后端服务器连续出现error时要做哪种模式；
<mode>：
        fastinter：
        fail-check：检测失败；
        sudden-death：间歇性down；
        mark-down：标记为down；
on-marked-down <action>：标记为down时，执行的动作；
on-marked-up <action>：标记为up时，执行的动作；
redir <prefix>：将发往此服务器的所有的GET和HEAD请求重定向至指定的地址；这个地址完全可以是haproxy代理没有关系的另外的主机；发送302响应码；
weight <weight>：服务器的权重；

maxconn <conn>：
定义实例的最大并发连接数；

标记后端主机为backup，例如：server web-RS1 172.18.11.11:80 check weight 1 backup
标记后端主机的最大连接数、队列长度，定义后端主机的的总最大连接数；例如：
maxconn 7700
server web-RS1 172.18.11.11:80 check weight 1 maxconn 2000 maxqueue 200
server web-RS2 172.18.11.12:80 check weight 2 maxconn 5000 maxqueue 500
注意：maxconn=所有后端server定义的maxconn之和+所有后端server定义的maxqueue之和；

option httpchk 默认检测主页响应码为200；
option httpchk <uri>
option httpchk <method> <uri>
option httpchk <method> <uri> <version>
        定义基于http协议7层健康状态检测功能；
        <uri>：如果没指明，默认检测主页；

        <method>：检测为请求方法；
        <version>：检测表示http协议的版本；默认为http 1.0；

mode { tcp|http|health }
定义实例的工作模式；
tcp(四)层：给代理的为ssl，ssh，mysql等非http协议时使用，默认即为此模式；如果服务主机是https主机，要使用mode tcp模式；因为haproxy代理分析不了请求报文首部，加密了；

http(七)层：仅当代理为http协议时使用；包括7层过滤器、内容交换；

health：工作于健康状态检测响应模式；当收到请求时仅回应OK后就断开连接；


设置haproxy反代，负载均衡非http协议，如监听ssl服务，例如：
listen sshserver
    bind *:20002
    balance leastconn
    mode tcp
    maxconn 20
    server sshserver1 172.18.11.11:22 check
    server sshserver2 172.18.11.12:22 check
注意：代理https时，要使用mode 指明tcp模式；

cookie <name> [ rewrite | insert | prefix ] [ indirect ] [ nocache ]
          [ postonly ] [ preserve ] [ httponly ] [ secure ]
          [ domain <domain> ]* [ maxidle <idle> ] [ maxlife <life> ]
cookie：基于cookie进行会话保持；

<name>：用于指明cookie中的某个名称，这个名称定义了那一段cookie信息是用来做会话粘性时被监控、修改、或者插入信息以实现持久性的；
rewrite：重写；整个cookie信息将会被haproxy重写，并在内部加上服务器id信息，当然，也有可能把某些信息依然放进去，只是把其中的某些项改了；相当于把insert和prefix结合使用；
insert：插入；在原有的cookie中插入；
prefix：添加前缀；把cookie信息插入在原有cookie信息的最左侧；
nocache：当使用insert操作时，当客户端经由一个代理连接haproxy主机时，推荐使用此选项；用来操作对应的cache标记来判定对应信息是否能够作为重写标准；
preserve：服务器可以保留某个指定的cookie标记，以实现基于此信息的转发；
secure：指示haproxy在insert时添加一个secure cookie标记；作用在于不允许后端服务器操作里面的cookie信息；
domain <domain>：对应的cookie对应在哪个域上；

基于cookie实现粘性，例如：
listen web
    log global
    bind *:80,*:8080
    balance roundrobin
    option httpchk
    maxconn 7700
    cookie web insert indirect nocache
    server web-RS1 172.18.11.11:80 check weight 1 maxconn 2000 maxqueue 200 cookie rs1
    server web-RS2 172.18.11.12:80 check weight 2 maxconn 5000 maxqueue 500 cookie rs2

统计接口启用相关的参数：

stats enable：启用统计页；可以基于默认参数直接启用统计页；默认参数如下，其实，只需这一个指令即可，其它都有默认值；
默认设置：
        stats uri   : /haproxy?stats
        stats realm : "HAProxy Statistics"
        stats auth  : no authentication
        stats scope : no restriction

定义访问haproxy的状态页uri，例如：
listen stats *:9001
    stats enable
    stats uri /
    stats realm haproxy\ statistics

    stats auth admin:pass
    stats admin if TRUE
浏览器输入：http://172.18.11.111:9001/

stats uri <prefix>：统计页的访问时的uri前缀，通常要跟上?stats；默认为/haproxy?stats；不建议使用默认公开的状态统计页uri；
stats realm <realm>：设定认证时使用realm，使用字符串中有空格时，要用转义符或加双引号；
stats auth <user>:<passwd>：认证时的账号和密码；可以使用多次；
stats refresh <delay>：统计页的自动刷新时间间隔；默认单位秒；
stats show-desc [ <desc> ]：设置显示状态页的描述信息；

例如：
listen stats *:9001
    stats enable
    stats uri /
    stats realm haproxy\ statistics

    stats auth admin:pass
    stats admin if TRUE
    stats refresh 3s
    stats show-desc magedu test haproxy

stats hide-version：在统计页隐藏版本信息；
stats admin { if | unless } <cond>：在指定的条件下acl满足时，启用admin功能；

option forwardfor [ except <network> ] [ header <name> ] [ if-none ]
把发往backend server的请求报文中添加X-Forwarded-For首部，其值为真正的客户端主机地址；此功能自动实现；
对于后端主机每一次访问日志信息中记录的客户端是代理服务器的ip地址，应该想要记录真正的客户端ip地址；
except <network>：来自于此网络的请求不添加；
header <name>：不使用默认的X-Forwarded-For，自定义的首部名称；即改名；

例如：
后端RS1，httpd配置文件，修改日志格式：
]# vim /etc/httpd/conf/httpd.conf
LogFormat "%{X-Forwarded-For}i %l %u %t \"%r\" %>s %b \"%{Referer}i\" \"%{User-Agent}i\"" combined


option forceclose
no option forceclose
        启用或禁用活动连接，就是面向客户端连接时，响应完客户端后是否立即断开；

option httpclose
no option httpclose
        启用或禁用被动http连接关闭，就是服务端是否关闭连接；
        haproxy默认支持保持连接功能的，如果客户端不发请求连接也一直存在；
面向客户端一侧，如果强制不使用持久连接功能，可启用option httpclose；否则，要启用no option httpclose，且结合option http-server-close一同使用；

option http-keep-alive
no option http-keep-alive
        是否启用保持连接功能；如果启用option http-keep-alive，要结合option http-server-close一同使用；

reqadd  <string> [{if | unless} <cond>]
        向请求报文尾部添加自定义的header；

reqdel  <search> [{if | unless} <cond>]
reqidel <search> [{if | unless} <cond>]  (ignore case)
        基于模式删除匹配到的请求报文首部中的header及其值；因为首部可能会影响调度算法，所以要删除；

        <search>：搜索的是正则表达式；
        reqidel：忽略字符大小写；


rspadd <string> [{if | unless} <cond>]
        向响应报文尾部添加自定义的header；

rspdel  <search> [{if | unless} <cond>]
rspidel <search> [{if | unless} <cond>]  (ignore case)
        基于模式删除匹配到的响应报文中的header及其值；

删除响应给客户端首部的Server的值，例如：
listen web
    log global
    bind *:80,*:8080
    balance roundrobin
    option httpchk
    maxconn 7700
    rspidel ^Server:.*
    errorfile 403 /tmp/403.html
    cookie web insert indirect nocache
    server web-RS1 172.18.11.11:80 check weight 1 maxconn 2000 maxqueue 200 cookie rs1
    server web-RS2 172.18.11.12:80 check weight 2 maxconn 5000 maxqueue 500 cookie rs2


errorfile <code> <file>
设定错误页，响应码及响应的资源文件路径；
<code>：可为200, 400, 403, 408, 500, 502, 503, and 504.
<file>：是本地文件；

errorloc <code> <url>
设定错误页，响应码及响应的本地url；

errorloc302 <code> <url>
告诉客户端，错误页是重定向的本地url，这个url有可能是haproxy服务器自身提供的；

errorloc303 <code> <url>
不由haproxy服务器自己生成错误页，而是返回一个url，这个url可能在另一个服务器上；

使用acl结合自定义错误页，显示给客户端；

acl <aclname> <criterion> [flags] [operator] <value> ...
定义或补全一个访问列表；
acl要先定义后调用；

<aclname>：
        指定acl的名称，可使用同一名称；可用大小写字母、短横线(-) 、下划线(_)、点号(.)、冒号(:)；区分字符大小写；

<criterion>：匹配标准，可以基于分析请求报文中的任何属性信息，来作为判断一次请求报文是否符合此处所定义acl；标准非常多，如请求报文原地址、请求报文的首部各信息等；
四层获取匹配条件：
dst IP：目标地址匹配；
dst_port PORT：目标端口匹配；
src IP：源地址匹配；
src_port POST：源端口匹配；
[flags] ：标志位；
[operator] ：匹配后的操作符；
做布尔型匹配：其值0表示false，1表示true；
做整型匹配：可用操作符为：
eq：等于
ge：大于等于
gt：大于
le：小于
lt：小于等于
做字符串匹配：
-m str：精确匹配；
-m sub：做字串匹配；
-m beg：匹配前缀，即开头的字符串；
-m end：匹配后缀；
-m dir：匹配子路径；
-m dom：域名匹配；

指明多个匹配条件时，使用的逻辑符号：
与：隐式条件；
||：或
!：非

例如：
   acl url_static  path_beg         /static /images /img /css
   acl url_static  path_end         .gif .png .jpg .css .js
   acl host_www    hdr_beg(host) -i www
解释：
        1.定义acl名称为url_static，条件匹配路径的开头，以/static /images /img /css开头都匹配；
        2.cal名称相同，条件匹配路径结尾，以.gif .png .jpg .css .js结尾都匹配

use_backend <backend> [{if | unless} <condition>]
        调用指定的后端主机；条件一般为acl；

default_backend <backend>
        使用的默认后端主机；

haproxy实现简单的动静分离：

]# vim /etc/haproxy/haproxy.cfg

backend php
    balance roundrobin
#   cookie phpsession indirect nocache
    server phpsr1 172.18.11.112:80 check weight 1 cookie php1 maxconn 300
    server phpsr2 172.18.11.113:80 check weight 1 cookie php2 maxconn 600

backend web
    balance roundrobin
    server websr1 172.18.11.11:80 check maxconn 1000
    server websr2 172.18.11.12:80 check maxconn 1000

frontend frondphp
    bind *:80
    acl php_page path_end -i .php
#   acl php_page path_reg -i \.php$
    use_backend php if php_page
    default_backend web

listen stats
    bind *:9000
    stats enable

tcp-check connect [params*]
        打开一个新连接；

block { if | unless } <condition>
        阻塞7层请求；根据判断条件匹配；
        <condition>就是acl；

http-request { allow | deny | tarpit | auth [realm <realm>] | redirect <rule> |
  add-header <name> <fmt> | set-header <name> <fmt> |
  del-header <name> | set-nice <nice> | set-log-level <level> |
  replace-header <name> <match-regex> <replace-fmt> |
  replace-value <name> <match-regex> <replace-fmt> |
  set-tos <tos> | set-mark <mark> |
  add-acl(<file name>) <key fmt> |
  del-acl(<file name>) <key fmt> |
  del-map(<file name>) <key fmt> |
  set-map(<file name>) <key fmt> <value fmt>
}
[ { if | unless } <condition> ]

基于7层做http的请求报文做访问控制；

例如：
acl nagios src 192.168.129.3
acl local_net src 192.168.0.0/16
acl auth_ok http_auth(L1)

http-request allow if nagios
http-request allow if local_net auth_ok
http-request auth realm Gimme if local_net auth_ok
http-request deny

对http的请求报文做控制，为白名单；

http-response { allow | deny | add-header <name> <fmt> | set-nice <nice> |
set-header <name> <fmt> | del-header <name> |
replace-header <name> <regex-match> <replace-fmt> |
replace-value <name> <regex-match> <replace-fmt> |
set-log-level <level> | set-mark <mark> | set-tos <tos> |
add-acl(<file name>) <key fmt> |
del-acl(<file name>) <key fmt> |
del-map(<file name>) <key fmt> |
set-map(<file name>) <key fmt> <value fmt>
}
[ { if | unless } <condition> ]

        基于http的响应报文做访问控制；

        例如：
        acl key_acl res.hdr(X-Acl-Key) -m found

        acl myhost hdr(Host) -f myhost.lst

        http-response add-acl(myhost.lst) %[res.hdr(X-Acl-Key)] if key_acl
        http-response del-acl(myhost.lst) %[res.hdr(X-Acl-Key)] if key_acl