一、haproxy 概述
1、haproxy简介
官网:www.haproxy.org
HAProxy是一款提供高可用性、负载均衡(支持tcp层对基于tcp的应用层做LB)以及基于TCP(第四层)和HTTP(第七层)应用的代理软件,HAProxy是完全免费的、借助HAProxy可以快速并且可靠的提供基于TCP和HTTP应用的代理解决方案。
七层反向代理,四层负载均衡
免费开源,稳定性非常好
HAProxy 支持连接拒绝
因为维护一个连接的打开的开销是很低的,有时我们很需要限制***蠕虫(attack bots),也就是说限制它们的连接打开从而限制它们的危害。 这个已经为一个陷于小型DDoS***的网站开发而且已经拯救了很多站点,这个优点也是其它负载均衡器没有的。
HAProxy 支持全透明代理 (已具备硬件防火墙的典型特点)
可以用客户端IP地址或者任何其他地址来连接后端服务器. 这个特性仅在Linux2.4/2.6内核打了cttproxy补丁后才可以使用 . 这个特性也使得为某特殊服务器处理部分流量同时又不修改服务器的地址成为可能。
HAProxy多用于线上的Mysql集群环境,我们常用于它作为MySQL(读)负载均衡
自带强大的监控服务器状态的页面,实际环境中我们结合Nagios进行邮件或短信报警
HAProxy支持虚拟主机
HAProxy特别适用于那些负载特大的web站点, 这些站点通常又需要会话保持或七层处理 。
HAProxy运行在当前的硬件上,完全可以支持数以万计的并发连接。并且它的运行模式使得它可以很简单安全的整合进您当前的架构中,同时可以保护你的web服务器不被暴露到网络上
haproxy
2、haproxy特性
客户端的长连接( client-side keep-alive)
TCP加速( TCP speedups)
响应池(response buffering)
支持RDP协议
基于源的粘性 (source-based stickiness)
更好的统计数据接口 (a much better stats interfaces),状态页
更详细的健康状态检测机制 (more verbose health checks)
基于流量的健康评估机制 (traffic-based health)
支持HTTP认证
服务器管理命令行接口 (server management from the CLI)
基于ACL的持久性 (ACL-based persistence)
日志分析器
3、haproxy 性能特点
HAProxy借助于OS上几种常见的技术来实现性能的最大化:
单进程、事件驱动模型
显著降低了上下文切换的开销及内存占用
O(1)事件检查器(eventchecker)
允许其在高并发连接中对任何连接的任何事件实现即时探测。
在任何可用的情况下,单缓冲(single buffering)机制
能以不复制任何数据的方式完成读写操作,这会节约大量的CPU时钟周期及内存带宽;
借助于Linux2.6 (>= 2.6.27.19)上的splice()系统调用 ,HAProxy可以实现零复制转发(Zero-copy forwarding),在Linux 3.5及以上的OS中还可以实现零复制启动(zero-starting);
MRU内存分配器在固定大小的内存池中可实现即时内存分配
这能够显著减少创建一个会话的时长;
树型存储:侧重于使用作者多年前开发的弹性二叉树
实现了以O(log(N))的低开销来保持计时器命令、保持运行队列命令及管理轮询及最少连接队列;
优化的HTTP首部分析
优化的首部分析功能避免了在HTTP首部分析过程中重读任何内存区域;
大部分工作都在用户空间完成(精心地降低了昂贵的系统调用 )
如时间读取、缓冲聚合及文件描述符的启用和禁用等;
所有的这些细微之处的优化实现了在中等规模负载之上依然有着相当低的CPU负载,甚至于在非常高的负载场景中,5%的用户空间占用率和95%的系统空间占用率也是非常普遍的现象,这意味着HAProxy进程消耗比系统空间消耗低20倍以上。因此,对OS进行性能调优是非常重要的。即使用户空间的占用率提高一倍,其CPU占用率也仅为10%,这也解释了为何7层处理对性能影响有限这一现象。由此,在高端系统上HAProxy的7层性能可轻易超过硬件负载均衡设备。
在生产环境中,在7层处理上使用HAProxy作为昂贵的高端硬件负载均衡设备故障故障时的紧急解决方案也时长可见。硬件负载均衡设备在“报文”级别处理请求,这在支持跨报文请求(request across multiple packets)有着较高的难度,并且它们不缓冲任何数据,因此有着较长的响应时间。对应地,软件负载均衡设备使用TCP缓冲,可建立极长的请求,且有着较大的响应时间。
负载均衡器的性能评估因素的三个重要因素:
会话率 : 单位时间内的处理的请求数
会话并发能力 :并发处理能力
数据率: 处理数据能力
经过官方测试统计, haproxy 单位时间处理的最大请求数为20000个,可以同时维护40000-50000个并发连接,最大数据处理能力为10Gbps。 综合上述,haproxy是性能优越的负载均衡、反向代理服务器。
4、haproxy安装
[root@Node5 ~]# yum install haproxy
[root@Node5 ~]# rpm -ql haproxy
/etc/haproxy
/etc/haproxy/haproxy.cfg
/etc/logrotate.d/haproxy
/etc/rc.d/init.d/haproxy
/etc/sysconfig/haproxy
/usr/bin/halog
/usr/bin/iprange
/usr/sbin/haproxy
/usr/share/doc/haproxy-1.5.4
/usr/share/doc/haproxy-1.5.4/CHANGELOG
/usr/share/haproxy
/usr/share/haproxy/400.http
/usr/share/haproxy/403.http
/usr/share/haproxy/408.http
/usr/share/haproxy/500.http
/usr/share/haproxy/502.http
/usr/share/haproxy/503.http
/usr/share/haproxy/504.http
/usr/share/haproxy/README
/usr/share/man/man1/halog.1.gz
/usr/share/man/man1/haproxy.1.gz
/var/lib/haproxy
二、haproxy安装及配置
1、配置文件的组成部分
全局配置: global settings
对haproxy进程自身属性的设置
代理配置: proxies
对代理的设定,由四部分组成:
defaults, frontend, backend, listen
定义一个完成的代理方式:
frontend,backend
listen
也可以混合使用两种方式
配置的优先级(低到高):
命令行参数、 global 、 proxies (代理)
[root@Node5 ~]# cat /etc/haproxy/haproxy.cfg
#---------------------------------------------------------------------
# Example configuration for a possible web application. See the
# full configuration options online.
#
# http://haproxy.1wt.eu/download/1.4/doc/configuration.txt
#
#---------------------------------------------------------------------
#---------------------------------------------------------------------
# Global settings
#---------------------------------------------------------------------
global
# to have these messages end up in /var/log/haproxy.log you will
# need to:
### 默认没有启用日志
# 1) configure syslog to accept network log events. This is done
# by adding the '-r' option to the SYSLOGD_OPTIONS in
# /etc/sysconfig/syslog
#
# 2) configure local2 events to go to the /var/log/haproxy.log
# file. A line like the following can be added to
# /etc/sysconfig/syslog
#
# local2.* /var/log/haproxy.log
#
log 127.0.0.1 local2
chroot /var/lib/haproxy
pidfile /var/run/haproxy.pid
maxconn 4000
user haproxy
group haproxy
daemon
# turn on stats unix socket
stats socket /var/lib/haproxy/stats
#---------------------------------------------------------------------
# common defaults that all the 'listen' and 'backend' sections will
# use if not designated in their block
#---------------------------------------------------------------------
defaults
mode http
log global
option httplog
option dontlognull
option http-server-close
option forwardfor except 127.0.0.0/8
option redispatch
retries 3
timeout http-request 10s
timeout queue 1m
timeout connect 10s
timeout client 1m
timeout server 1m
timeout http-keep-alive 10s
timeout check 10s
maxconn 3000
#---------------------------------------------------------------------
# main frontend which proxys to the backends
#---------------------------------------------------------------------
frontend main *:5000
acl url_static path_beg -i /static /images /javascript /stylesheets
acl url_static path_end -i .jpg .gif .png .css .js
use_backend static if url_static
default_backend app
#---------------------------------------------------------------------
# static backend for serving up images, stylesheets and such
#---------------------------------------------------------------------
backend static
balance roundrobin
server static 127.0.0.1:4331 check
#---------------------------------------------------------------------
# round robin balancing between the various backends
#---------------------------------------------------------------------
backend app
balance roundrobin
server app1 127.0.0.1:5001 check
server app2 127.0.0.1:5002 check
server app3 127.0.0.1:5003 check
server app4 127.0.0.1:5004 check
2 、/etc/haproxy/haproxy.cfg配置文件详解
1 )全局配置:
“global” 配置中的参数为进程级别的参数,且通常与其运行的 OS 相关。
* 进程管理及安全相关的参数
- chroot :修改 haproxy 的工作目录至指定的目录并在放弃权限之前执行 chroot() 操作,可以提升 haproxy 的安全级别,不过需要注意的是要确保指定的目录为空目录且任何用户均不能有写权限;
- daemon :让 haproxy 以守护进程的方式工作于后台,其等同于 “-D” 选项的功能,当然,也可以在命令行中以 “-db” 选项将其禁用;
- gid :以指定的 GID 运行 haproxy ,建议使用专用于运行 haproxy 的 GID ,以免因权限问题带来风险;
- group :同 gid ,不过指定的组名;
- log (设备) [max level [min level]] : 定义全局的 syslog 服务器,最多可以定义两个;
- log-send-hostname [] : 在 syslog 信息的首部添加当前主机名,可以为 “string” 指定的名称 , 也可以缺省使用当前主机名;
- nbproc : 指定启动的 haproxy 进程的个数,只能用于守护进程模式的 haproxy ;默认只启动一个进程,鉴于调试困难等多方面的原因,一般只在单进程仅能打开少数文件描述符的场景中才使用多进程模式;
- pidfile :
- uid : 以指定的 UID 身份运行 haproxy 进程;
- ulimit-n :设定每进程所能够打开的最大文件描述符数目,默认情况下其会自动进行计算,因此不推荐修改此选项;
- user :同 uid ,但使用的是用户名;
- stats :
- node :定义当前节点的名称,用于 HA 场景中多 haproxy 进程共享同一个 IP 地址时;
- description :当前实例的描述信息;
* 性能调整相关的参数
- maxconn : 设定每个 haproxy 进程所接受的最大并发连接数,其等同于命令行选项 “-n” ; “ulimit -n” 自动计算的结果正是参照此参数设定的;
- maxpipes : haproxy 使用 pipe 完成基于内核的 tcp 报文重组,此选项则用于设定每进程所允许使用的最大 pipe 个数;每个 pipe 会打开两个文件描述符,因此, “ulimit -n” 自动计算时会根据需要调大此值;默认为 maxconn/4 ,其通常会显得过大;
- noepoll :在 Linux 系统上禁用 epoll 机制;
- nokqueue :在 BSD 系统上禁用 kqueue 机制;
- nopoll :禁用 poll 机制;
- nosepoll :在 Linux 禁用启发式 epoll 机制;
- nosplice :禁止 在 Linux 套接字上使用内核 tcp 重组 ,这会导致更多的 recv/send 系统调用;不过,在 Linux 2.6.25-28 系列的内核上, tcp 重组功能有 bug 存在;
- spread-checks : 在 haproxy 后端有着众多服务器的场景中,在精确的时间间隔后统一对众服务器进行健康状况检查可能会带来意外问题; 此选项用于将其检查的时间间隔长度上增加或减小一定的随机时长;
- tune.bufsize :设定 buffer 的大小,同样的内存条件下,较小的值可以让 haproxy 有能力接受更多的并发连接,较大的值可以让某些应用程序使用较大的 cookie 信息;默认为 16384 ,其可以在编译时修改,不过强烈建议使用默认值;
- tune.chksize :设定检查缓冲区的大小,单位为字节;更大的值有助于在较大的页面中完成基于字符串或模式的文本查找,但也会占用更多的系统资源;不建议修改;
- tune.maxaccept :设定 haproxy 进程内核调度运行时一次性可以接受的连接的个数,较大的值可以带来较大的吞吐率,默认在单进程模式下为 100 ,多进程模式下为 8 ,设定为 -1 可以禁止此限制;一般不建议修改;
- tune.maxpollevents : 设定一次系统调用可以处理的事件最大数,默认值取决于 OS ;其值小于 200 时可节约带宽,但会略微增大网络延迟,而大于 200 时会降低延迟,但会稍稍增加网络带宽的占用量;
- tune.maxrewrite :设定为首部重写或追加而预留的缓冲空间,建议使用 1024 左右的大小;在需要使用更大的空间时, haproxy 会自动增加其值;
- tune.rcvbuf.client :
- tune.rcvbuf.server :设定内核套接字中服务端或客户端接收缓冲的大小,单位为字节;强烈推荐使用默认值;
- tune.sndbuf.client :
- tune.sndbuf.server :
* Debug 相关的参数
- debug 详细日志
- quiet 静默模式
2 )代理
代理相关的配置可以如下配置段中。
- defaults
- frontend
- backend
- listen
“defaults” 段用于为所有其它配置段提供默认参数,这配置默认配置参数可由下一个 “defaults” 所重新设定。
“frontend” 段用于定义一系列监听的套接字,这些套接字可接受客户端请求并与之建立连接。
“backend” 段用于定义一系列 “ 后端 ” 服务器,代理将会将对应客户端的请求转发至这些服务器。
“listen” 段通过关联 “ 前端 ” 和 “ 后端 ” 定义了一个完整的代理,通常只对 TCP 流量有用。
所有代理的名称只能使用大写字母、小写字母、数字、 -( 中线 ) 、 _( 下划线 ) 、 .( 点号 ) 和 :( 冒号 ) 。
此外, ACL 名称会区分字母大小写。
七、配置文件中的关键字参考
1 、balance
balance [ ]
balance url_param [check_post[]]
定义负载均衡算法,可用于 “defaults” 、 “listen” 和 “backend” 。
用于在负载均衡场景中挑选一个 server ,其仅应用于持久信息不可用的条件下或需要将一个连接重新派发至另一个服务器时。
支持的算法有:
roundrobin: 基于 权重进行轮叫 ,在服务器的处理时间保持均匀分布时,这是最平衡、最公平的算法。此算法是动态的,这表示其权重可以在运行时进行调整,不过,在设计上,每个后端服务器仅能最多接受 4128 个连接;
static-rr : 基于权重进行轮叫,与 roundrobin 类似,但是为静态方法,在运行时调整其服务器权重不会生效;不过,其在后端服务器连接数上没有限制;
leastconn : 新的连接请求被派发至具有最少连接数目的后端服务器; 在有着较长时间会话的场景中推荐使用此算法,如 LDAP 、 SQL 等, 其并不太适用于较短会话的应用层协议,如 HTTP ;此算法是动态的,可以在运行时调整其权重;
source : 将 请求的源地址进行 hash 运算,并由后端服务器的权重总数相除后派发至某匹配的服务器 ; 这可以使得同一个客户端 IP 的请求始终被派发至某特定的服务器 ;不过,当服务器权重总数发生变化时,如某服务器宕机或添加了新的服务器,许多客户端的请求可能会被派发至与此前请求不同的服务器; 常用于负载均衡无 cookie 功能的基于 TCP 的协议;其默认为静态, 不过也可以使用 hash-type 修改此特性;
hash-type:
map-based: 静态(取模法)
consistent: 动态(一致性 hash)
uri : 对 URI 的左半部分 (“ 问题 ” 标记之前的部分 ) 或整个 URI 进行 hash 运算 , 并由服务器的总权重相除后派发至某匹配的服务器; 这可以使得对同一个 URI 的请求总是被派发至某特定的服务器,除非服务器的权重总数发生了变化;此算法常用于代理缓存或反病毒代理以提高缓存的命中率;需要注意的是,此算法仅应用于 HTTP 后端服务器场景;其默认为静态算法,不过也可以使用 hash-type 修改此特性;
url_param : 通过 为 URL 指定的参数在每个 HTTP GET 请求中将会被检索;如果 找到了指定的参数且其通过等于号 “=” 被赋予了一个值,那么此值将被执行 hash 运算并被服务器的总权重相除后派发至某匹配的服务器; 此算法可以通过追踪请求中的用户标识进而确保同一个用户 ID 的请求将被送往同一个特定的服务器,除非服务器的总权重发生了变化;如果某请求中没有出现指定的参数或其没有有效值,则使用轮叫算法对相应请求进行调度;此算法默认为静态的,不过其也可以使用 hash-type 修改此特性;
hdr() : 对于每个 HTTP 请求,通过 指定的 HTTP 首部将会被检索;如果相应的首部没有出现或其没有有效值, 则使用轮叫算法对相应请求进行调度;其有一个可选选项 “use_domain_only” ,可在指定检索类似 Host 类的首部时仅计算域名部分 ( 比如通过 www.magedu.com 来说,仅计算 magedu 字符串的 hash 值 ) 以降低 hash 算法的运算量;此算法默认为静态的,不过其也可以使用 hash-type 修改此特性;
rdp-cookie
rdp-cookie(name) :
2 、 default_backend
default_backend
在没有匹配的 "use_backend" 规则时为实例指定使用的默认后端,因此,其不可应用于 backend 区段。在 "frontend" 和 "backend" 之间进行内容交换时,通常使用 "use-backend" 定义其匹配规则;而没有被规则匹配到的请求将由此参数指定的后端接收。
:指定使用的后端的名称;
使用案例:
use_backend dynamic if url_dyn
use_backend static if url_css url_img extension_img
default_backend dynamic
use_backend [{if | unless}] : 条件式后端指定;
由 ACL 定义的;
3 、 server
server [:port][param*]
为后端声明一个 server ,因此,不能用于 defaults 和 frontend 区段。
: 为此服务器指定的内部名称,其将出现在日志及警告信息中;如果设定了 "http-send-server-name" ,它还将被添加至发往此服务器的请求首部中;
: 此服务器的的 IPv4 地址,也支持使用可解析的主机名,只不过在启动时需要解析主机名至相应的 IPv4 地址;
[:port] : 指定将连接请求所发往的此服务器时的目标端口,其为可选项;未设定时,将使用客户端请求时的同一相端口;
[param*] : 为此服务器设定的一系参数;其可用的参数非常多,具体请参考官方文档中的说明,下面仅说明几个常用的参数;
服务器或默认服务器参数:
backup: 设定为备用服务器,仅在负载均衡场景中的其它server均不可用于启用此server;
disabled:设置服务器为禁用状态
check: 启动对此server执行健康状态检查(tcp层检测),其可以借助于额外的其它参数完成更精细的设定,如:
inter : 设定健康状态检查的时间间隔,单位为毫秒,默认为2000;也可以使用fastinter和downinter来根据服务器端状态优化此时间延迟;
rise : 设定健康状态检查中,某离线的server从离线状态转换至正常状态需要成功检查的次数;
fall : 确认server从正常状态转换为不可用状态需要检查的次数;
cookie : 为指定server设定cookie值,此处指定的值将在请求入站时被检查,第一次为此值挑选的server将在后续的请求中被选中,其目的在于实现持久连接的功能;
haproxy cookie sticky
cookie:Enable cookie-based persistence in abackend. 启用基于cookie的会话粘性
具体实现方式:
backend appsrvs
balance roundrobin
option httpchk #使用http协议做健康检测,默认是用tcp协议扫描端口做健康检测
cookie SERVERID(cookie名称) insert(内插) indirect nocache(不缓存)
server web1 172.16.100.7:80 checkinter 2 rise 1 fall 3 cookie web1
server web2 172.16.100.8:80check inter 2 rise 1 fall 3 cookie web2
maxconn : 指定此服务器接受的最大并发连接数;如果发往此服务器的连接数目高于此处指定的值,其将被放置于请求队列,以等待其它连接被释放;
maxqueue : 设定请求队列的最大长度;
minconn: 最少并发连接数
weight : 权重,默认为1,最大值为256,0表示不参与负载均衡;
observe :通过观察服务器的通信状况来判定其健康状态,默认为禁用,其支持的类型有“layer4”和“layer7”,“layer7”仅能用于http代理场景;
redir:启用重定向功能,将发往此服务器的GET和HEAD请求均以302状态码响应;需要注意的是,在prefix后面不能使用/,且不能使用相对地址,以免造成循环;例如:
server srv1 172.16.100.6:80redir http://imageserver.magedu.com check
检查方法:
option httpchk #使用http协议做健康检测,默认是用tcp协议扫描端口做健康检测
option httpchk #
option httpchk
option httpchk :不能用于 frontend 段,
option httpchk GET /test/index.php
默认情况下,HAProxy只是对主机打开了一个TCP连接来检查这台主机是否启动。这种ping只能检测这台主机是否关机,不过不能确定它是不健康的(磁盘损坏,网络连接不正常)。httpchk选项将给位于后端的终端节点发送HTTP请求。后端可以进行自检,并回答自身是否健康。
例如:
backend https_relay
mode tcp
option httpchkOPTIONS * HTTP/1.1\r\nHost:\ www.magedu.com
option httpchk GET /mytaobao/home/my_taobao.jhtmlHTTP/1.1\r\nHost:my.gemini.taobao.net
server apache1192.168.1.1:443 check port 80
使用案例:
back appsrvs
balance roundrobin
option httpchk
cookie SERVERID insert indirect nocache #
server first 172.16.100.7:1080 cookie first check inter 1000
server second 172.16.100.8:1080 cookie second check inter 1000
4 、 bind
bind []: [,...]
bind []: [,...] interface
此指令仅能用于 frontend 和 listen 区段,用于定义一个或几个监听的套接字。
: 可选选项,其可以为主机名、 IPv4 地址、 IPv6 地址或 * ;省略此选项、将其指定为 * 或 0.0.0.0 时,将监听当前系统的所有 IPv4 地址;
:可以是一个特定的 TCP 端口,也可是一个端口范围 ( 如 5005-5010) ,代理服务器将通过指定的端口来接收客户端请求;需要注意的是,每组监听的套接字 在同一个实例上只能使用一次,而且小于 1024 的端口需要有特定权限的用户才能使用,这可能需要通过 uid 参数来定义;
:指定物理接口的名称,仅能在 Linux 系统上使用;其不能使用接口别名,而仅能使用物理接口名称,而且只有管理有权限指定绑定的物理接口;
5 、mode
mode { tcp|http|health }
设定实例的运行模式或协议。当实现内容交换时,前端和后端必须工作于同一种模式(一般说来都是HTTP模式),否则将无法启动实例。
tcp:实例运行于纯TCP模式,在客户端和服务器端之间将建立一个全双工的连接,且不会对7层报文做任何类型的检查; 此为默认模式 ,通常用于SSL、SSH、SMTP等应用;
http:实例运行于HTTP模式,客户端请求在转发至后端服务器之前将被深度分析,所有不与RFC格式兼容的请求都会被拒绝;
health:实例工作于health模式,其对入站请求仅响应“OK”信息并关闭连接,且不会记录任何日志信息;此模式将用于响应外部组件的健康状态检查请求;目前业讲,此模式已经废弃,因为tcp或http模式中的monitor关键字可完成类似功能;
6 、stats enable
启用基于程序编译时默认设置的统计报告,不能用于 “frontend” 区段。只要没有另外的其它设定,它们就会使用如下的配置:
- stats uri /haproxy?stats
- stats realm "HAProxyStatistics"
- stats auth no authentication # 没有认证
- stats scope no restriction # 没有任何限制
尽管 “stats enable” 一条就能够启用统计报告,但还是建议设定其它所有的参数,以免其依赖于默认设定而带来非期后果。下面是一个配置案例。
backend public_www #这样定义访问比较麻烦
server websrv1 192.168.100.179:8080
stats enable
stats hide-version
stats scope .
stats uri /haproxyadmin?stats
stats realm Haproxy\ Statistics #设置提示信息,空格要转义,单引号也可以
stats auth statsadmin:password, #认证,用户名:密码
stats auth statsmaster:password
7 、stats admin
stats admin { if | unless }
在指定的条件满足时启用统计报告页面的管理级别功能,它允许通过 web 接口启用或禁用服务器,不过,基于安全的角度考虑,统计报告页面应该尽可能为只读的。此外,如果启用了 HAProxy 的多进程模式,启用此管理级别将有可能导致异常行为。
目前来说, POST 请求方法被限制于仅能使用缓冲区减去保留部分之外的空间,因此,服务器列表不能过长,否则,此请求将无法正常工作。因此,建议一次仅调整少数几个服务器。下面是两个案例,第一个限制了仅能在本机打开报告页面时启用管理级别功能,第二个定义了仅允许通过认证的用户使用管理级别功能。
backend stats_localhost
stats enable
stats admin if LOCALHOST #从本地登录就使用管理功能
listen stats_page #就使用这个配置咯,方便访问
bind *:8080
stats enable
stats auth haproxyadmin:password
stats admin if TRUE #认证成功就使用管理功能
stats scope
格式:
stats scope { | "." }
启用统计报告并限定报告的区段 ,不能用于“frontend”区段。当指定此语句时,统计报告将仅显示其列举出区段的报告信息,所有其它区段的信息将被隐藏。如果需要显示多个区段的统计报告,此语句可以定义多次。需要注意的是,区段名称检测仅仅是以字符串比较的方式进行,它不会真检测指定的区段是否真正存在。
· :可以是一个“listen”、“frontend”或“backend”区段的名称,而“.”则表示stats scope语句所定义的当前区段。
8 、option forwardfor
option forwardfor [ except ][ header ] [ if-none ]
定义在default或backend段
允许在发往服务器的请求首部中插入“X-Forwarded-For”首部。
:可选参数,当指定时,源地址为匹配至此网络中的请求都禁用此功能。
:可选参数,可使用一个自定义的首部,如“X-Client”来替代“X-Forwarded-For”。有些独特的web服务器的确需要用于一个独特的首部。
if-none:仅在此首部不存在时才将其添加至请求报文问道中。
HAProxy工作于反向代理模式,其发往服务器的请求中的客户端IP均为HAProxy主机的地址而非真正客户端的地址,这会使得服务器端的日志信息记录不了真正的请求来源,“X-Forwarded-For”首部则可用于解决此问题。HAProxy可以向每个发往服务器的请求上添加此首部, 并以客户端IP为其value 。
需要注意的是,HAProxy工作于隧道模式,其仅检查每一个连接的第一个请求,因此,仅第一个请求报文被附加此首部。如果想为每一个请求都附加此首部,请确保同时使用了“option httpclose”、“option forceclose”和“option http-server-close”几个option。
下面是一个例子。
frontend www
mode http
option forwardfor except 127.0.0.1
#option forwardfor header X-Client #自定义请求首部变量名
option httpclose
option httpclose
no option httpclose
Enable or disable passive HTTP connectionclosing 启用或禁止消极的 HTTP 连接关闭
May be used in sections : defaults | frontend | listen | backend
yes | yes | yes | yes
Arguments(参数) : none
默认的,客户端与服务端的通讯, HAProxy 只做分析、日志和分析每个连接的第一个 request 。如果设置了 "option
httpclose" , 则会检查双向的 http 头是否有 "Connection: close" ,如果没有则自动添加,使每个客户端或服务端在每次传输后,都会主动关闭 TCP 连接,使 HTTP 传输处于 HTTP close 模式下。任何 "Connection" 头如果不是 "close" ,都会被移除。
很少会有服务器不正确的忽略掉头,即使收到 "Connection: close" 也不关闭连接,否则就是不兼容 HTTP 1.0 浏览器标准。如果发生这种情况,可以使用 "option forceclose" ,在服务端响应后主动关闭请求连接。选项 "forceclose" 还可以及早释放服务连接,而不必等到客户端的应答确认。
这个选项可以设置在 frontend 或 backend 上,只要其上可以建立连接。 如果同时设置了 "optionforceclose" ,那么它比 "httpclose" 优先。如果同时设置了 "option http-server-close" ,则会实现 "option forceclose" 的效果(两个用一个就可以咯)。
HAProxy 会针对客户端的第一条请求的返回添加 cookie 并返回给客户端,客户端发送后续请求时会发送 此 cookie 到 HAProxy , HAProxy 会针对此 cookie 分发到上次处理此请求的服务器上, 如果服务器不能忽略此 cookie 值会影响处理结果。如果避免这种情况配置此选项,防止产生多余的 cookie 信息。
option forceclose
optionforceclose
no optionforceclose
Enable ordisable active connection closing after response is transferred. 启用或禁止 response 后的主动关闭连接
May beused in sections : defaults | frontend | listen | backend
yes | yes | yes | yes
Arguments: none
有的 HTTP 服务器收到 "option httpclose" 设置的 "Connection: close" ,也不会关闭连接,如果客户端也不关闭,连接会一直打开,直到超时。这会造成服务器上同一时段内的大量连接,日志中也会显示较高的全局会话时间。
此时,可以使用 "option forceclose" ,当完成响应时,立即关闭对外的服务通道。该选项隐式打开 httpclose 选项。需要注意,该选项允许解析完整的 request 和 response ,所以可以很快关闭至服务器的连接,比 httpclose 更早释放一些资源。
如果同时启用了 "option http-pretend-keepalive" ,虽然会禁止发送 "Connection: close" 头,但是依然会在整个 response 被接收后,关闭连接。
option http-server-close # 长连接时是否允许服务器端断开连接,应该允许
no option http-server-close
option http-pretend-keepalive # 后后端服务器假装长连接
no option http-pretend-keepaliv
option http-pretend-keepalive ( http- 假装 - 长连接)
no option http-pretend-keepalive
Define whether haproxy will announcekeepalive to the server or not 定义 haproxy 与服务器是否是 keepalive 的。
May be used in sections : defaults | frontend | listen | backend
yes | yes | yes | yes
Arguments : none
当声明了 "option http-server-close" 或 "option forceclose", haproxy 会在给 server 的 request 头中添加 "Connection: close" 。然而有些服务器看到这个头,会返回未知长度的 response ,并自动避免 chunked encoding ,其实这是不对的。它会阻止 haproxy 保持客户端长连接,还会使客户端或缓存接收了未完成的响应,却认为响应结束了。
设置 "option http-pretend-keepalive" , haproxy 会在服务器端保持长连接,服务端则不会出现前面的问题。当 haproxy 获取了完整的 response, 才会以类似 forceclose 的方式关闭服务端。这样客户端得到一个普通的响应,连接也在服务端被正常关闭。
建议不将其设为默认值,因为大部分服务器会在发送完最后一个包之后更高效的关闭连接,并释放缓存,而且网络上的数据包也会略微降低整体的峰值性能。 但是启用该选项, haproxy 会略微少做一些工作。所以如果 haproxy 在整个架构中是个瓶颈,可以启用该操作,以节省 CPU 。
这个选项可以设置在 frontend 或 backend 上,只要其上可以建立连接。这个选项可以与 "option httpclose" 结合 , 使服务端 keepalive ,客户端 close ,但并不建议这样做。
option redispatch # 某个连接发生错误后要不要重新调度(用在会话保持中的场景中)
redirect location|prefix [code] [{if |unless} ] #url 重定向 相当于 rewrite
新的响应码 条件
例子:
acl secure dst_port 8080
acl login_page url_beg /login
redirect prefix https://magedu.com if login_page !secure #访问登录页面如是不是通过安全的端口,则重定向至这个ur,这里同时调用了2个acl,表示必须同时满足
redirect location if !login_page secure
9 、reqadd,rspadd
reqadd [{if|unless}] # 请求报文尾部中添加自定义的首部
rspadd [{if|unless}] # 响应报文
例子:
acl is-ssl dst_port 81
reqadd X-Proto:\ SSL if is-ssl # 如果符合 is-ssl 就向请求报文尾部中添加一个自定义变量 X-Proto 值为 “ SSL”
10 、 timeout http-request #客户端请求超时时间
timeout queue # 客户端请求队列超时时间
timeout connect # 后端服务器响应超时
timeout client # 客户端超时时间
timeout server # 服务器端连接超时
timeouthttp-keep-alive # 长连接超时时间
timeout check # 健康检测超时时间
11 、capture request header
capture responseheader
capture request header len
capture response header len
捕获并记录指定的请求首部最近一次出现时的第一个值,仅能用于“frontend”和“listen”区段。捕获的首部值使用花括号{}括起来后添加进日志中。如果需要捕获多个首部值,它们将以指定的次序出现在日志文件中,并以竖线“|”作为分隔符。不存在的首部记录为空字符串,最常需要捕获的首部包括在虚拟主机环境中使用的“Host”、上传请求首部中的“Content-length”、快速区别真实用户和网络机器人的“User-agent”,以及代理环境中记录真实请求来源的“X-Forward-For”。
· :要捕获的首部的名称,此名称不区分字符大小写,但建议与它们出现在首部中的格式相同,比如大写首字母。需要注意的是,记录在日志中的是首部对应的值,而非首部名称。
· :指定记录首部值时所记录的精确长度,超出的部分将会被忽略。
可以捕获的请求首部的个数没有限制,但每个捕获最多只能记录64个字符。为了保证同一个frontend中日志格式的统一性,首部捕获仅能在frontend中定义。
12 、 option httplog
格式:
option httplog [ clf ]
启用记录HTTP请求、会话状态和计时器的功能。
clf:使用CLF格式来代替HAProxy默认的HTTP格式,通常在使用仅支持CLF格式的特定日志分析器时才需要使用此格式。
启用日志记录 HTTP 请求,默认 haproxy 日志记录是不记录 HTTP 请求的,只记录 “ 时间 [Jan 5 13:23:46] 日志服务器 [127.0.0.1] 实例名已经 pid[haproxy[25218]] 信息 [Proxy http_80_in stopped.]” ,日志格式很简单。
默认情况下,
日志输入格式非常简陋,因为其仅包括源地址、目标地址和实例名称,而“option httplog”参数将会使得日志格式变得丰富许多 ,其通常包括但不限于HTTP请求、连接计时器、会话状态、连接数、捕获的首部及cookie、“frontend”、“backend”及服务器名称,当然也包括源地址和端口号等。
13 、option logasap
格式:
option logasap
no option logasap
启用或禁用提前将HTTP请求记入日志,不能用于“backend”区段。
默认情况下,HTTP请求是在请求结束时进行记录以便能将其整体传输时长和字节数记入日志,由此,传较大的对象时,其记入日志的时长可能会略有延迟。“option logasap”参数能够在服务器发送complete首部时即时记录日志,只不过,此时将不记录整体传输时长和字节数。此情形下,捕获“Content-Length”响应首部来记录传输的字节数是一个较好选择。下面是一个例子。
listen http_proxy 0.0.0.0:80
mode http
option httplog
option logasap
log 172.16.100.9 local2
14 、errorfile
errorfile
在用户请求不存在的页面时,返回一个页面文件给客户端而非由 haproxy 生成的错误代码;可用于所有段中。
:指定对 HTTP 的哪些状态码返回指定的页面;这里可用的状态码有 200 、 400 、 403 、 408 、 500 、 502 、 503 和 504 ;
:指定用于响应的页面文件;
例如:
errorfile 400 /etc/haproxy/errorpages/400badreq.http
errorfile 403/etc/haproxy/errorpages/403forbid.http
errorfile 503/etc/haproxy/errorpages/503sorry.http
15 、 errorloc 和errorloc302
errorloc
errorloc302
请求错误时,返回一个 HTTP 重定向至某 URL 的信息;可用于所有配置段中。
:指定对 HTTP 的哪些状态码返回指定的页面;这里可用的状态码有 200 、 400 、 403 、 408 、 500 、 502 、 503 和 504 ;
: Location 首部中指定的页面位置的具体路径,可以是在当前服务器上的页面的相对路径,也可以使用绝对路径;需要注意的是,如果 URI 自身错误时产生某特定状态码信息的话,有可能会导致循环定向;
需要留意的是,这两个关键字都会返回 302 状态吗,这将使得客户端使用同样的 HTTP 方法获取指定的 URL ,对于非 GET 法的场景 ( 如 POST) 来说会产生问题,因为返回客户的 URL 是不允许使用 GET 以外的其它方法的。如果的确有这种问题,可以使用 errorloc303 来返回 303 状态码给客户端。
16 、 errorloc303
errorloc303
请求错误时,返回一个 HTTP 重定向至某 URL 的信息给客户端;可用于所有配置段中。
:指定对 HTTP 的哪些状态码返回指定的页面;这里可用的状态码有 400 、 403 、 408 、 500 、 502 、 503 和 504 ;
: Location 首部中指定的页面位置的具体路径,可以是在当前服务器上的页面的相对路径,也可以使用绝对路径;需要注意的是,如果 URI 自身错误时产生某特定状态码信息的话,有可能会导致循环定向;
例如:
backend webserver
server 172.16.100.6 172.16.100.6:80check maxconn 3000 cookie srv01
server 172.16.100.7 172.16.100.7:80check maxconn 3000 cookie srv02
errorloc 403/etc/haproxy/errorpages/sorry.htm
errorloc 503/etc/haproxy/errorpages/sorry.htm
八、ACL
haproxy的ACL用于 实现基于请求报文的首部、响应报文的内容或其它的环境状态信息来做出转发决策 ,这大大增强了其配置弹性。其配置法则通常分为两步,首先去定义ACL,即定义一个测试条件,而后在条件得到满足时执行某特定的动作,如阻止请求或转发至某特定的后端。定义ACL的语法格式如下。
acl [flags] [operator] ...
: ACL 名称,区分字符大小写,且其只能包含大小写字母、数字、 -( 连接线 ) 、 _( 下划线 ) 、 .( 点号 ) 和 :( 冒号 ) ; haproxy 中, acl 可以重名,这可以把多个测试条件定义为一个共同的 acl ;
: 测试标准,即对什么信息发起测试; 测试方式可以由 [flags] 指定的标志进行调整;而有些测试标准也可以需要为其在 之前指定一个操作符 [operator] ;
[flags] : 目前 haproxy 的 acl 支持的标志位有 3 个:
-i :不区分 中模式字符的大小写;
-f :从指定的文件中加载模式;
-- :标志符的强制结束标记,在模式中的字符串像标记符时使用;
: acl 测试条件支持的值有以下四类:
整数或整数范围 :如 1024:65535 表示从 1024 至 65535 ;仅支持使用正整数 ( 如果出现类似小数的标识,其为通常为版本测试 ) , 且支持使用的操作符有 5 个,分别为 eq 、 ge 、 gt 、 le 和 lt ;
字符串: 支持使用 “-i” 以忽略字符大小写,支持使用 “\” 进行转义;如果在模式首部出现了 -i ,可以在其之前使用 “--” 标志位;
正则表达式: 其机制类同字符串匹配;
IP 地址及网络地址
同一个 acl 中可以指定多个测试条件,这些测试条件需要由逻辑操作符指定其关系。条件间的组合测试关系有三种: “ 与 ”( 默认即为与操作 ) 、 “ 或 ”( 使用 “||” 操作符 ) 以及 “ 非 ”( 使用 “!” 操作符 ) 。
常用的测试标准(criteria)
1 、 be_sess_rate
be_sess_rate(backend)
用于测试指定的 backend 上会话创建的速率 ( 即每秒创建的会话数 ) 是否满足指定的条件;常用于在指定 backend 上的会话速率过高时将用户请求转发至另外的 backend ,或用于阻止***行为。
例如:
backend dynamic
mode http
acl being_scanned be_sess_rate gt 50
redirect location /error_pages/denied.html if being_scanned
2 、 fe_sess_rate
fe_sess_rate(frontend)
用于测试指定的 frontend( 或当前 frontend) 上的会话创建速率是否满足指定的条件;常用于为 frontend 指定一个合理的会话创建速率的上限以防止服务被滥用。例如下面的例子限定入站邮件速率不能大于 50 封 / 秒,所有在此指定范围之外的请求都将被 延时 50 毫秒。
frontend mail
bind :25
mode tcp
maxconn 500
acl too_fast fe_sess_rate ge 500
tcp-request inspect-delay 50ms
tcp-request content accept if ! too_fast
tcp-request content accept if WAIT_END
3 、 hdr
hdr(header)
用于测试请求报文中的所有首部或指定首部是否满足指定的条件;指定首部时,其名称不区分大小写,且在括号 “()” 中不能有任何多余的空白字符。测试服务器端的响应报文时可以使用 shdr() 。例如下面的例子用于测试首部 Connection 的值是否为 close 。
hdr(Connection) -i close
4 、 method
method
测试 HTTP 请求报文中使用的方法。
5 、 path_beg
URL scheme://host:port/path/to/somewhere 中的 /path/to/somewhere
用于测试请求的 URL 是否以 指定的模式开头。
下面的例子用于测试 URL 是否以 /static 、 /images 、 /javascript 或 /stylesheets 头。
acl url_static path_beg -i /static /images /javascript /stylesheets
6 、 path_end
用于测试请求的 URL 是否以 指定的模式结尾。例如,下面的例子用户测试 URL 是否以 jpg 、 gif 、 png 、 css 或 js 结尾。
acl url_static path_end -i .jpg .gif .png .css .js
7 、 hdr_beg
用于测试请求报文的指定首部的开头部分是否符合 指定的模式。例如,下面的例子用记测试请求是否为提供静态内容的主机 img 、 video 、 download 或 ftp 。
acl host_static hdr_beg(host) -i img. video. download. ftp.
8 、 hdr_end
用于测试请求报文的指定首部的结尾部分是否符合 指定的模式。
其它的creterion:
dst_port, src_port, src, dst,url_beg, url_end
九、配置案例
1 、http服务器配置示例
#---------------------------------------------------------------------
# Global settings
#---------------------------------------------------------------------
global
# to have these messages end up in /var/log/haproxy.log you will
# need to:
#
# 1) configure syslog to accept network log events. This is done
# by adding the '-r' option to the SYSLOGD_OPTIONS in
# /etc/sysconfig/syslog
#
# 2) configure local2 events to go to the /var/log/haproxy.log
# file. A line like the following can be added to
# /etc/sysconfig/syslog
#
# local2.* /var/log/haproxy.log
#
log 127.0.0.1 local2
chroot /var/lib/haproxy
pidfile /var/run/haproxy.pid
maxconn 4000
user haproxy
group haproxy
daemon
defaults
mode http
log global
option httplog
option dontlognull #不记录健康检测产生的日志
option http-server-close #长连接时是否允许服务器端断开连接,应该允许
option forwardfor except 127.0.0.0/8
option redispatch
retries 3
timeout http-request 10s
timeout queue 1m
timeout connect 10s
timeout client 1m
timeout server 1m
timeout http-keep-alive 10s
timeout check 10s
maxconn 30000
listen stats
mode http
bind 0.0.0.0:1080
stats enable
stats hide-version
stats uri /haproxyadmin?stats
stats realm Haproxy\ Statistics
stats auth admin:admin
stats admin if TRUE
frontend http-in
bind *:80
mode http
log global
option httpclose #每次请求完毕后主动关闭http通道
option logasap
option dontlognull #不记录健康检查的日志信息
capture request header Host len 20
capture request header Referer len 60
default_backend servers
frontend healthcheck
bind :1099
mode http
option httpclose
option forwardfor
default_backend servers
backend servers
balance roundrobin
server websrv1 192.168.10.11:80 check maxconn 2000
server websrv2 192.168.10.12:80 check maxconn 2000
2 、负载均衡MySQL服务的配置示例
#---------------------------------------------------------------------
# Global settings
#---------------------------------------------------------------------
global
# to have these messages end up in /var/log/haproxy.log you will
# need to:
#
# 1) configure syslog to accept network log events. This is done
# by adding the '-r' option to the SYSLOGD_OPTIONS in
# /etc/sysconfig/syslog
#
# 2) configure local2 events to go to the /var/log/haproxy.log
# file. A line like the following can be added to
# /etc/sysconfig/syslog
#
# local2.* /var/log/haproxy.log
#
log 127.0.0.1 local2
chroot /var/lib/haproxy
pidfile /var/run/haproxy.pid
maxconn 4000
user haproxy
group haproxy
daemon
defaults
mode tcp
log global
option httplog
option dontlognull
retries 3
timeout http-request 10s
timeout queue 1m
timeout connect 10s
timeout client 1m
timeout server 1m
timeout http-keep-alive 10s
timeout check 10s
maxconn 600
listen stats
mode http
bind 0.0.0.0:1080
stats enable
stats hide-version
stats uri /haproxyadmin?stats
stats realm Haproxy\ Statistics
stats auth admin:admin
stats admin if TRUE
frontend mysql
bind *:3306
mode tcp
log global
default_backend mysqlservers
backend mysqlservers
balance leastconn
server dbsrv1 192.168.10.11:3306 check port 3306 intval 2 rise 1 fall 2 maxconn 300
server dbsrv2 192.168.10.12:3306 check port 3306 intval 2 rise 1 fall 2 maxconn 300
十、 Haproxy 与 KeepAlive
KeepAlive 就是通常所称的长连接,KeepAlive带来的好处是可以减少tcp连接的开销,这对于短responsebody的请求效果更加明显,同时可以为采用HTTP协议的交互式应用提供良好的session支持,Hapxoxy作为一款开源的LoadBalance,老版本不能支持KeepAlive,不过自从1.4.dev5开始支持Client端的KeepAlive。
1 、KeepAlive的原理
HTTP1.0和HTTP1.1协议中都有对KeepAlive的支持,其中HTTP1.0需要在request中增加"Connection: keep-alive" header才能够支持,而HTTP1.1默认支持。
HTTP1.0 KeepAlive支持的数据交互流程如下:
1)Client发出request,其中该request的HTTP版本号为1.0,同时在request中包一个header:"Connection:keep-alive"。
2)Web Server收到request中的HTTP协议为1.0及"Connection:keep-alive"就认为是一个长连接请求,其将在response的header中也增加"Connection:keep-alive",同时不会关闭已建立的tcp连接。
3)Client收到Web Server的response中包含"Connection:keep-alive",就认为是一个长连接不close tcp连接,并用该tcp连接再发送request。
HTTP1.1 KeepAlive支持的数据交互流程如下:
1)Client发出request,其中该request的HTTP版本号为1.1。
2)Web Server收到request中的HTTP协议为1.1就认为是一个长连接请求,其将在response的header中也增加"Connection: keep-alive"。同时不会关闭已建立的tcp连接。
3)Client收到Web Server的response中包含"Connection:keep-alive",就认为是一个长连接,不closetcp连接,并用该tcp连接再发送request。
运维网声明
1、欢迎大家加入本站运维交流群:群②:261659950 群⑤:202807635 群⑦870801961 群⑧679858003
2、本站所有主题由该帖子作者发表,该帖子作者与运维网 享有帖子相关版权
3、所有作品的著作权均归原作者享有,请您和我们一样尊重他人的著作权等合法权益。如果您对作品感到满意,请购买正版
4、禁止制作、复制、发布和传播具有反动、淫秽、色情、暴力、凶杀等内容的信息,一经发现立即删除。若您因此触犯法律,一切后果自负,我们对此不承担任何责任
5、所有资源均系网友上传或者通过网络收集,我们仅提供一个展示、介绍、观摩学习的平台,我们不对其内容的准确性、可靠性、正当性、安全性、合法性等负责,亦不承担任何法律责任
6、所有作品仅供您个人学习、研究或欣赏,不得用于商业或者其他用途,否则,一切后果均由您自己承担,我们对此不承担任何法律责任
7、如涉及侵犯版权等问题,请您及时通知我们,我们将立即采取措施予以解决
8、联系人Email:admin@iyunv.com 网址:www.yunweiku.com