Haproxy配置说明

321312

Haproxy介绍haproxy是一个开源的反向代理或者说是负载均衡服务服务软件之一，它支持双机热备、虚拟主机、基于TCP和http应用代理、具有图形界面等功能，而且有很好的对服务节点的健康检查功能，当期代理的后端服务器出现故障时，haproxy会自动的将该服务器摘除，当服务器的故障恢复后haproxy还会自动将该RS服务器加入。

Haproxy特别适用于那些访问量很大，但又需要会话保持或七层应用的业务。Haproxy运行在普通的服务器硬件上，仅仅进行简单的配置就可以支持数以万计的连接。并且他的运行模式使得它可以很简单安全的整合到各种网站的架构中（可以代替lvs,nginx等负载均衡设备），同时使得应用服务器不会暴露到网络上。（NAT模式）
环境说明：
haproxy  ip地址172.16.4.100

web-01   ip地址172.16.4.101

web-02  ip地址172.16.102
使用系统均为centos6.6 64位

Haproxy安装Haproxy在centos6.6系统的安装光盘中已经自带直接使用yum安装即可。

1	[iyunv@haproxy ~]# yum -y install haproxy

Haproxy的文件配置文件：etc/haproxy/haproxy.cfg
启动脚本：etc/rc.d/init.d/haproxy
主程序：/usr/bin/halog
日志管理和分析：usr/bin/halog
Ip地址范围段管理和分析：usr/bin/iprange
配置组成段 全局配置：
    Global

代理配置：

   Default，frontend，backend，listen

优先级：

   命令行参数、global、proxies

全局配置“global”配置中的参数为进程级别的参数，且通常与其运行的OS相关。

* 进程管理及安全相关的参数
   - chroot <jail dir>：修改haproxy的工作目录至指定的目录并在放弃权限之前执行chroot()操作，可以提升haproxy的安全级别，不过需要注意的是要确保指定的目录为空目录且任何用户均不能有写权限；
   - daemon：让haproxy以守护进程的方式工作于后台，其等同于“-D”选项的功能，当然，也可以在命令行中以“-db”选项将其禁用；
   - gid <number>：以指定的GID运行haproxy，建议使用专用于运行haproxy的GID，以免因权限问题带来风险；
   - group <group name>：同gid，不过指定的组名；
   - log <address> <facility> [max level [min level]]：定义全局的syslog服务器，最多可以定义两个；
   - log-send-hostname [<string>]：在syslog信息的首部添加当前主机名，可以为“string”指定的名称，也可以缺省使用当前主机名；
   - nbproc <number>：指定启动的haproxy进程的个数，只能用于守护进程模式的haproxy；默认只启动一个进程，鉴于调试困难等多方面的原因，一般只在单进程仅能打开少数文件描述符的场景中才使用多进程模式；
   -pidfile：指定haproxy进程的pid文件。启动进程的用户必须有访问此进程的权限。
   - uid：以指定的UID身份运行haproxy进程；
   - ulimit-n：设定每进程所能够打开的最大文件描述符数目，默认情况下其会自动进行计算，因此不推荐修改此选项；
   - user：同uid，但使用的是用户名；
   - node：定义当前节点的名称，用于HA场景中多haproxy进程共享同一个IP地址时；
   - description：当前实例的描述信息；

* 性能调整相关的参数
   - maxconn <number>：设定每个haproxy进程所接受的最大并发连接数，其等同于命令行选项“-n”；“ulimit -n”自动计算的结果正是参照此参数设定的；
   - maxpipes <number>：haproxy使用pipe完成基于内核的tcp报文重组，此选项则用于设定每进程所允许使用的最大pipe个数；每个pipe会打开两个文件描述符，因此，“ulimit -n”自动计算时会根据需要调大此值；默认为maxconn/4，其通常会显得过大；
   - noepoll：在Linux系统上禁用epoll机制；
   - nokqueue：在BSD系统上禁用kqueue机制；
   - nopoll：禁用poll机制；
   - nosepoll：在Linux禁用启发式epoll机制；
   - nosplice：禁止在Linux套接字上使用内核tcp重组，这会导致更多的recv/send系统调用；不过，在Linux 2.6.25-28系列的内核上，tcp重组功能有bug存在；
   - spread-checks <0..50, in percent>：在haproxy后端有着众多服务器的场景中，在精确的时间间隔后统一对众服务器进行健康状况检查可能会带来意外问题；此选项用于将其检查的时间间隔长度上增加或减小一定的随机时长；
   - tune.bufsize <number>：设定buffer的大小，同样的内存条件下，较小的值可以让haproxy有能力接受更多的并发连接，较大的值可以让某些应用程序使用较大的cookie信息；默认为16384，其可以在编译时修改，不过强烈建议使用默认值；
   - tune.chksize <number>：设定检查缓冲区的大小，单位为字节；更大的值有助于在较大的页面中完成基于字符串或模式的文本查找，但也会占用更多的系统资源；不建议修改；
   - tune.maxaccept <number>：设定haproxy进程内核调度运行时一次性可以接受的连接的个数，较大的值可以带来较大的吞吐率，默认在单进程模式下为100，多进程模式下为8，设定为-1可以禁止此限制；一般不建议修改；
   - tune.maxpollevents  <number>：设定一次系统调用可以处理的事件最大数，默认值取决于OS；其值小于200时可节约带宽，但会略微增大网络延迟，而大于200时会降低延迟，但会稍稍增加网络带宽的占用量；
   - tune.maxrewrite <number>：设定为首部重写或追加而预留的缓冲空间，建议使用1024左右的大小；在需要使用更大的空间时，haproxy会自动增加其值；
   - tune.rcvbuf.client <number>：面对客户端的接收缓冲
   - tune.rcvbuf.server <number>：设定内核套接字中服务端或客户端接收缓冲的大小，单位为字节；强烈推荐使用默认值；
   - tune.sndbuf.client：面对客户端的发送缓冲
   - tune.sndbuf.server：面对服务器端的接收缓冲

* Debug相关的参数
   -debug：调试模式
   -quiet：静默模式
代理代理相关的配置可以如下配置段中。
-defaults <name>
-frontend <name>
-backend  <name>
-listen   <name>

“defaults”段用于为所有其它配置段提供默认参数，这配置默认配置参数可由下一个“defaults”所重新设定。
“frontend”段用于定义一系列监听的套接字，这些套接字可接受客户端请求并与之建立连接。
“backend”段用于定义一系列“后端”服务器，代理将会将对应客户端的请求转发至这些服务器。
“listen”段通过关联“前端”和“后端”定义了一个完整的代理，通常只对TCP流量有用。

所有代理的名称只能使用大写字母、小写字母、数字、-(中线)、_(下划线)、.(点号)和:(冒号)。此外，ACL名称会区分字母大小写。

配置文件中的关键字参考balancebalance <algorithm> [ <arguments>]
balance url_param <param> [check_post[<max_wait>]]

定义负载均衡算法，可用于“defaults”、“listen”和“backend”。<algorithm>用于在负载均衡场景中挑选一个server，其仅应用于持久信息不可用的条件下或需要将一个连接重新派发至另一个服务器时。支持的算法有：

  roundrobin：基于权重进行轮叫，在服务器的处理时间保持均匀分布时，这是最平衡、最公平的算法。此算法是动态的，这表示其权重可以在运行时进行调整，不过，在设计上，每个后端服务器仅能最多接受4128个连接；
  static-rr：基于权重进行轮叫，与roundrobin类似，但是为静态方法，在运行时调整其服务器权重不会生效；不过，其在后端服务器连接数上没有限制；
  leastconn：新的连接请求被派发至具有最少连接数目的后端服务器；在有着较长时间会话的场景中推荐使用此算法，如LDAP、SQL等，其并不太适用于较短会话的应用层协议，如HTTP；此算法是动态的，可以在运行时调整其权重；
  source：将请求的源地址进行hash运算，并由后端服务器的权重总数相除后派发至某匹配的服务器；这可以使得同一个客户端IP的请求始终被派发至某特定的服务器；不过，当服务器权重总数发生变化时，如某服务器宕机或添加了新的服务器，许多客户端的请求可能会被派发至与此前请求不同的服务器；常用于负载均衡无cookie功能的基于TCP的协议；其默认为静态，不过也可以使用hash-type修改此特性；
  uri：对URI的左半部分(“问题”标记之前的部分)或整个URI进行hash运算，并由服务器的总权重相除后派发至某匹配的服务器；这可以使得对同一个URI的请求总是被派发至某特定的服务器，除非服务器的权重总数发生了变化；此算法常用于代理缓存或反病毒代理以提高缓存的命中率；需要注意的是，此算法仅应用于HTTP后端服务器场景；其默认为静态算法，不过也可以使用hash-type修改此特性；
  url_param：通过<argument>为URL指定的参数在每个HTTP GET请求中将会被检索；如果找到了指定的参数且其通过等于号“=”被赋予了一个值，那么此值将被执行hash运算并被服务器的总权重相除后派发至某匹配的服务器；此算法可以通过追踪请求中的用户标识进而确保同一个用户ID的请求将被送往同一个特定的服务器，除非服务器的总权重发生了变化；如果某请求中没有出现指定的参数或其没有有效值，则使用轮叫算法对相应请求进行调度；此算法默认为静态的，不过其也可以使用hash-type修改此特性；
  hdr(<name>)：对于每个HTTP请求，通过<name>指定的HTTP首部将会被检索；如果相应的首部没有出现或其没有有效值，则使用轮叫算法对相应请求进行调度；其有一个可选选项“use_domain_only”，可在指定检索类似Host类的首部时仅计算域名部分(比如通过www.magedu.com来说，仅计算magedu字符串的hash值)以降低hash算法的运算量；此算法默认为静态的，不过其也可以使用hash-type修改此特性；
  rdp-cookie：表示根据HTTP请求头来锁定每一次HTTP请求
  rdp-cookie(name)：表示根据cookie（name）来锁定哈希每一次TCP请求
bindbind [<address>]:<port_range>[, ...]
bind [<address>]:<port_range>[, ...] interface <interface>

此指令仅能用于frontend和listen区段，用于定义一个或几个监听的套接字。

<address>：可选选项，其可以为主机名、IPv4地址、IPv6地址或*；省略此选项、将其指定为*或0.0.0.0时，将监听当前系统的所有IPv4地址；
<port_range>：可以是一个特定的TCP端口，也可是一个端口范围(如5005-5010)，代理服务器将通过指定的端口来接收客户端请求；需要注意的是，每组监听的套接字<address:port>在同一个实例上只能使用一次，而且小于1024的端口需要有特定权限的用户才能使用，这可能需要通过uid参数来定义；
<interface>：指定物理接口的名称，仅能在Linux系统上使用；其不能使用接口别名，而仅能使用物理接口名称，而且只有管理有权限指定绑定的物理接口；

modemode { tcp|http|health }

设定实例的运行模式或协议。当实现内容交换时，前端和后端必须工作于同一种模式(一般说来都是HTTP模式)，否则将无法启动实例。

tcp：实例运行于纯TCP模式，在客户端和服务器端之间将建立一个全双工的连接，且不会对7层报文做任何类型的检查；此为默认模式，通常用于SSL、SSH、SMTP等应用；
http：实例运行于HTTP模式，客户端请求在转发至后端服务器之前将被深度分析，所有不与RFC格式兼容的请求都会被拒绝；
health：实例工作于health模式，其对入站请求仅响应“OK”信息并关闭连接，且不会记录任何日志信息；此模式将用于响应外部组件的健康状态检查请求；目前业讲，此模式已经废弃，因为tcp或http模式中的monitor关键字可完成类似功能；

hash-typehash-type <method>

定义用于将hash码映射至后端服务器的方法；其不能用于frontend区段；可用方法有map-based和consistent，在大多数场景下推荐使用默认的map-based方法。

map-based：hash表是一个包含了所有在线服务器的静态数组。其hash值将会非常平滑，会将权重考虑在列，但其为静态方法，对在线服务器的权重进行调整将不会生效，这意味着其不支持慢速启动。此外，挑选服务器是根据其在数组中的位置进行的，因此，当一台服务器宕机或添加了一台新的服务器时，大多数连接将会被重新派发至一个与此前不同的服务器上，对于缓存服务器的工作场景来说，此方法不甚适用。
consistent：hash表是一个由各服务器填充而成的树状结构；基于hash键在hash树中查找相应的服务器时，最近的服务器将被选中。此方法是动态的，支持在运行时修改服务器权重，因此兼容慢速启动的特性。添加一个新的服务器时，仅会对一小部分请求产生影响，因此，尤其适用于后端服务器为cache的场景。不过，此算法不甚平滑，派发至各服务器的请求未必能达到理想的均衡效果，因此，可能需要不时的调整服务器的权重以获得更好的均衡性。
loglog global
log <address> <facility>[<level> [<minlevel>]]

为每个实例启用事件和流量日志，因此可用于所有区段。每个实例最多可以指定两个log参数，不过，如果使用了“log global”且"global"段已经定了两个log参数时，多余了log参数将被忽略。

global：当前实例的日志系统参数同"global"段中的定义时，将使用此格式；每个实例仅能定义一次“log global”语句，且其没有任何额外参数；
<address>：定义日志发往的位置，其格式之一可以为<IPv4_address:PORT>，其中的port为UDP协议端口，默认为514；格式之二为Unix套接字文件路径，但需要留心chroot应用及用户的读写权限；
<facility>：可以为syslog系统的标准facility之一；
<level>：定义日志级别，即输出信息过滤器，默认为所有信息；指定级别时，所有等于或高于此级别的日志信息将会被发送；

maxconnmaxconn <conns>

设定一个前端的最大并发连接数，因此，其不能用于backend区段。对于大型站点来说，可以尽可能提高此值以便让haproxy管理连接队列，从而避免无法应答用户请求。当然，此最大值不能超出“global”段中的定义。此外，需要留心的是，haproxy会为每个连接维持两个缓冲，每个缓冲的大小为8KB，再加上其它的数据，每个连接将大约占用17KB的RAM空间。这意味着经过适当优化后，有着1GB的可用RAM空间时将能维护40000-50000并发连接。

如果为<conns>指定了一个过大值，极端场景下，其最终占据的空间可能会超出当前主机的可用内存，这可能会带来意想不到的结果；因此，将其设定了一个可接受值方为明智决定。其默认为2000。
default_backend
default_backend <backend>

在没有匹配的"use_backend"规则时为实例指定使用的默认后端，因此，其不可应用于backend区段。在"frontend"和"backend"之间进行内容交换时，通常使用"use-backend"定义其匹配规则；而没有被规则匹配到的请求将由此参数指定的后端接收。

<backend>：指定使用的后端的名称；

使用案例：

use_backend     dynamic if  url_dyn
use_backend     static  if  url_css url_img extension_img
default_backend dynamic

serverserver <name> <address>[:port][param*]

为后端声明一个server，因此，不能用于defaults和frontend区段。

<name>：为此服务器指定的内部名称，其将出现在日志及警告信息中；如果设定了"http-send-server-name"，它还将被添加至发往此服务器的请求首部中；
<address>：此服务器的的IPv4地址，也支持使用可解析的主机名，只不过在启动时需要解析主机名至相应的IPv4地址；
[:port]：指定将连接请求所发往的此服务器时的目标端口，其为可选项；未设定时，将使用客户端请求时的同一相端口；
[param*]：为此服务器设定的一系参数；其可用的参数非常多，具体请参考官方文档中的说明，下面仅说明几个常用的参数；

服务器或默认服务器参数：
backup：设定为备用服务器，仅在负载均衡场景中的其它server均不可用于启用此server；
check：启动对此server执行健康状态检查，其可以借助于额外的其它参数完成更精细的设定，如：
  inter <delay>：设定健康状态检查的时间间隔，单位为毫秒，默认为2000；也可以使用fastinter和downinter来根据服务器端状态优化此时间延迟；
  rise <count>：设定健康状态检查中，某离线的server从离线状态转换至正常状态需要成功检查的次数；
  fall <count>：确认server从正常状态转换为不可用状态需要检查的次数；
cookie<value>：为指定server设定cookie值，此处指定的值将在请求入站时被检查，第一次为此值挑选的server将在后续的请求中被选中，其目的在于实现持久连接的功能；
maxconn<maxconn>：指定此服务器接受的最大并发连接数；如果发往此服务器的连接数目高于此处指定的值，其将被放置于请求队列，以等待其它连接被释放；
maxqueue<maxqueue>：设定请求队列的最大长度；
observe<mode>：通过观察服务器的通信状况来判定其健康状态，默认为禁用，其支持的类型有“layer4”和“layer7”，“layer7”仅能用于http代理场景；
redir<prefix>：启用重定向功能，将发往此服务器的GET和HEAD请求均以302状态码响应；需要注意的是，在prefix后面不能使用/，且不能使用相对地址，以免造成循环；例如：
server srv1 172.16.100.6:80 redir http://imageserver.magedu.com check
weight<weight>：权重，默认为1，最大值为256，0表示不参与负载均衡；



解决haproxy日志记录问题：Haproxy的日志默认是记录到日志服务器的local2设备中，这个时候本机就需要开启一个端口和设置local2设备的日志记录位置，haproxy才可以记录日志。

1	log         127.0.0.1 local2

如果想向haproxy记录日志，就需要修改rsyslog记录日志到指定位置和监听指定端口才可以成功记录日志。

1 2 3 4

[iyunv@haproxy ~]# vim /etc/rsyslog.conf $ModLoad imudp $UDPServerRun 514 local2.*                                               /var/log/haproxy.log

设置完成重启日志服务

1 2 3

[iyunv@haproxy ~]# service rsyslog restart [iyunv@haproxy ~]# ss -unl | grep 514 UNCONN    0      0                         *:514                      *:*

设置haproxy四层负载均衡集群后端web服务器设置不同页面，一遍验证负载均衡的效果

1 2	[iyunv@web-01 ~]# echo "web-01" >>/var/www/html/index.html [iyunv@web-02 ~]# echo "web-02" >>/var/www/html/index.html

访问验证

1 2 3 4

[iyunv@haproxy ~]# curl 172.16.4.101 web-01 [iyunv@haproxy ~]# curl 172.16.4.102 web-02

haproxy配置如下

1 2 3 4 5 6

frontend main *:80                          default_backend                      backend appsrvs                   balance     roundrobin                   server  web1 172.16.4.101:80 check      server  web2 172.16.4.102:80 check

设置完成启动服务就实现了haproxy的四层负载均衡配置

1 2 3

[iyunv@haproxy ~]# service haproxy start [iyunv@haproxy ~]# netstat -lntp | grep 80 tcp       0      0 0.0.0.0:80                  0.0.0.0:*                   LISTEN      36653/haproxy

验证负载均衡

1 2 3 4 5 6 7 8 9 10 11 12

[iyunv@haproxy ~]# curl 172.16.4.100 web-01 [iyunv@haproxy ~]# curl 172.16.4.100 web-02 [iyunv@haproxy ~]# curl 172.16.4.100 web-01 [iyunv@haproxy ~]# curl 172.16.4.100 web-02 [iyunv@haproxy ~]# curl 172.16.4.100 web-01 [iyunv@haproxy ~]# curl 172.16.4.100 web-02

status状态页配置启用基于程序编译时默认设置的统计报告，不能用于“frontend”区段。只要没有另外的其它设定，它们就会使用如下的配置：
  -stats uri   : /haproxy?stats
  -stats realm : "HAProxy Statistics"
  -stats auth  : no authentication
  -stats scope : no restriction
尽管“stats enable”一条就能够启用统计报告，但还是建议设定其它所有的参数，以免其依赖于默认设定而带来非期后果。下面是一个配置案例。  

1 2 3 4 5 6 7 8

backend appsrvs    balance     roundrobin    server  web1 172.16.4.101:80 check    server  web2 172.16.4.102:80 check       stats enable       #启用状态页面功能       stats realm"My\ haproxy\ stats"  #认证提示，这个的空格需要使用\转义    stats uri/admin?stats  #访问状态页面的路径    statsauth proxy:proxy  #登录的用户名和密码

访问状态页，输入正确的用户名和密码即可访问




如果想隐藏状态页面的版本信息，需要使用stats hide-version选项。

1 2 3 4 5 6 7 8 9 10 11

启动状态页面管理功能： backend appsrvs    balance     roundrobin    server  web1 172.16.4.101:80 check    server  web2 172.16.4.102:80 check     statsenable     statsrealm "My\ haproxy\ stats"     statshide-version     #隐藏haproxy版本信息     statsadmin if TRUE    #表示认证成功，可以使用web管理haproxy     stats uri/admin?stats     statsauth proxy:proxy

健康检查基于端口的建康检查只要后端服务器的80端口可以正常访问，那么就认为服务是正常的
只要在定义的server后面添加check就可以实现健康检查的功能

1 2	server  web1 172.16.4.101:80 check    server  web2 172.16.4.102:80 check

基于URL的健康检查只要后端服务器的指定页面文件可以正常访问那么就认为服务是正常的，否则就算服务可以正常访问也认为服务不可用
检测后端服务器的index.html文件是否存在，如果不存在就停止向后端服务器转发

1 2 3

optionhttpchk HEAD /index.html HTTP/1.0    server  web1 172.16.4.101:80 check    server  web2 172.16.4.102:80 check

backup设置在配置文件中定义server的时候如果在结尾添加backup字段，那么这台服务器就会成为备份服务器不在提供服务，只有当提供服务的服务器全部都挂了，他才提供服务。

1 2	server  web1 172.16.4.101:80 check     server  web2 172.16.4.102:80 check backup   #表示这台服务器是备份服务器

查看web页面服务器的状态，设置backup参数的服务器成为了蓝色


验证：
访问负载均衡集群，备份服务器没有提供服务

1 2 3 4 5 6 7 8

[iyunv@haproxy ~]# curl 172.16.4.100 web-01 [iyunv@haproxy ~]# curl 172.16.4.100 web-01 [iyunv@haproxy ~]# curl 172.16.4.100 web-01 [iyunv@haproxy ~]# curl 172.16.4.100 web-01

关闭web-01服务器，备份服务器就开始提供服务了

验证：访问集群已经是备份服务器在提供服务了

1 2 3 4 5 6 7 8

[iyunv@haproxy ~]# curl 172.16.4.100 web-02 [iyunv@haproxy ~]# curl 172.16.4.100 web-02 [iyunv@haproxy ~]# curl 172.16.4.100 web-02 [iyunv@haproxy ~]# curl 172.16.4.100 web-02

haproxy cookie sticky启用基于cookie的持久连接

1 2 3 4 5 6

backend appsrvs     balance   roundrobin     optionforwardfor     cookieSERVERID insert indirect nocache    #定义首部插入cookie     server  web1 172.16.4.101:80 checkcookie web1   #指定cookie附加的值为web1     server  web2 172.16.4.102:80 checkcookie web2   #指定cookie附加的值为web2

访问集群，查看请求首部已经有了请求的cookie信息，而且无论如何刷新都是定位到这台服务器响应。

ACL规则说明haproxy的ACL用于实现基于请求报文的首部、响应报文的内容或其它的环境状态信息来做出转发决策，这大大增强了其配置弹性。其配置法则通常分为两步，首先去定义ACL，即定义一个测试条件，而后在条件得到满足时执行某特定的动作，如阻止请求或转发至某特定的后端。定义ACL的语法格式如下。
  acl <aclname> <criterion>[flags] [operator] <value> ...

<aclname>：ACL名称，区分字符大小写，且其只能包含大小写字母、数字、-(连接线)、_(下划线)、.(点号)和:(冒号)；haproxy中，acl可以重名，这可以把多个测试条件定义为一个共同的acl；

<criterion>：测试标准，即对什么信息发起测试；测试方式可以由[flags]指定的标志进行调整；而有些测试标准也可以需要为其在<value>之前指定一个操作符[operator]；
[flags]：目前haproxy的acl支持的标志位有3个：
   -i：不区分<value>中模式字符的大小写；
   -f：从指定的文件中加载模式；
   --：标志符的强制结束标记，在模式中的字符串像标记符时使用；
<value>：acl测试条件支持的值有以下四类：
    整数或整数范围：如1024:65535表示从1024至65535；仅支持使用正整数(如果出现类似小数的标识，其为通常为版本测试)，且支持使用的操作符有5个，分别为eq、ge、gt、le和lt；
    字符串：支持使用“-i”以忽略字符大小写，支持使用“\”进行转义；如果在模式首部出现了-i，可以在其之前使用“--”标志位；
    正则表达式：其机制类同字符串匹配；
   IP地址及网络地址

同一个acl中可以指定多个测试条件，这些测试条件需要由逻辑操作符指定其关系。条件间的组合测试关系有三种：“与”(默认即为与操作)、“或”(使用“||”操作符)以及“非”(使用“!”操作符)。
常用的测试标准(criteria)be_sess_rate <integer>be_sess_rate(backend)<integer>

用于测试指定的backend上会话创建的速率(即每秒创建的会话数)是否满足指定的条件；常用于在指定backend上的会话速率过高时将用户请求转发至另外的backend，或用于阻止攻击行为。例如：

1 2 3 4

backenddynamic         modehttp         aclbeing_scanned be_sess_rate gt 50   #判断每秒会话速率大于50个        redirect location /error_pages/denied.html if being_scanned   #将用户请求转发到错误页面

fe_sess_rate <integer>fe_sess_rate(frontend)<integer>

用于测试指定的frontend(或当前frontend)上的会话创建速率是否满足指定的条件；常用于为frontend指定一个合理的会话创建速率的上限以防止服务被滥用。例如下面的例子限定入站邮件速率不能大于50封/秒，所有在此指定范围之外的请求都将被延时50毫秒。

1 2 3 4 5 6 7 8

frontendmail         bind:25         modetcp        maxconn 500         acltoo_fast fe_sess_rate ge 50   #判断创建的会话速率大于等于50个        tcp-request inspect-delay 50ms   #每50毫秒做一个探测        tcp-request content accept if ! too_fast #如果没有达到会话创建速率大于50个，那么就接受请求        tcp-request content accept if WAIT_END

hdr <string>hdr(header)<string>

用于测试请求报文中的所有首部或指定首部是否满足指定的条件；指定首部时，其名称不区分大小写，且在括号“()”中不能有任何多余的空白字符。测试服务器端的响应报文时可以使用shdr()。例如下面的例子用于测试首部Connection的值是否为close。

1	hdr(Connection) -i close

method <string>method<string>
测试HTTP请求报文中使用的方法。
path_beg <string>用于测试请求的URL是否以<string>指定的模式开头。下面的例子用于测试URL是否以/static、/images、/javascript或/stylesheets头。

1	aclurl_static       path_beg       -i/static /images /javascript /stylesheets

path_end <string>用于测试请求的URL是否以<string>指定的模式结尾。例如，下面的例子用户测试URL是否以jpg、gif、png、css或js结尾。

1	aclurl_static       path_end       -i .jpg .gif .png .css .js

hdr_beg <string>用于测试请求报文的指定首部的开头部分是否符合<string>指定的模式。例如，下面的例子用记测试请求是否为提供静态内容的主机img、video、download或ftp。

1	acl host_static hdr_beg(host) -i img.video. download. ftp.

hdr_end <string>用于测试请求报文的指定首部的结尾部分是否符合<string>指定的模式。例如，下面的例子用记测试请求是否为   
其它的creterion：  dst_port,src_port, src, dst, url_beg, url_end


动静分离的示例：

1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20

frontend main     bind *:80     aclurl_static       path_beg       -i /static /images /javascript/stylesheets    #判断请求报文开头部分是否为指定内容，并定义到url_static中     aclurl_static       path_end       -i .jpg .gif .png .css .js                       #判断结尾内容是否为指定内容，并定义到url_static中       use_backend static          ifurl_static    default_backend            appsrvs    backend static      #将静态内容转发到这里     balanceroundrobin     serverstatic1 172.16.100.11 check       serverstatic2 172.16.100.12 check    backend appsrvs    #将动态内容转发到这里    balance     roundrobin     optionforwardfor except 127.0.0.1 header X-Client     optionhttpchk     cookieSERVERID insert indirect nocache    server  web1 172.16.100.7:80 checkcookie web1    server  web2 172.16.100.8:80 checkcookie web2

                     
Haproxy配置文件示例：

1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 37 38 39 40 41 42 43 44 45 46 47 48 49 50 51 52 53 54 55 56 57 58 59 60 61 62 63 64 65 66 67 68

global     log         127.0.0.1 local2       chroot      /var/lib/haproxy    pidfile     /var/run/haproxy.pid    maxconn     4000     user        haproxy    group       haproxy     daemon        # turn onstats unix socket     statssocket /var/lib/haproxy/stats    defaults     mode                    http     log                     global    option                  httplog    option                 dontlognull     optionhttp-server-close     optionforwardfor       except 127.0.0.0/8    option                  redispatch    retries                 3     timeouthttp-request    10s     timeoutqueue           1m     timeoutconnect         10s     timeoutclient          1m     timeoutserver          1m     timeouthttp-keep-alive 10s     timeoutcheck           10s    maxconn                 30000    listen stats    #状态页面设置     mode http     bind0.0.0.0:1080     statsenable     statshide-version     statsuri     /haproxyadmin?stats     statsrealm   Haproxy\ Statistics     statsauth    admin:admin     statsadmin if TRUE       frontend http-in      #http请求的响应     bind *:80     mode http     logglobal     optionhttpclose       optionlogasap     optiondontlognull   #不记录空信息     capturerequest  header Host len 20     #捕获请求报文首部host的值的前20个字节记录到日志中     capturerequest  header Referer len 60  #捕获请求报文首部Referer的前20个自己记录到日志中     aclurl_static       path_beg       -i /static /images /javascript/stylesheets     aclurl_static       path_end       -i .jpg .jpeg .gif .png .css .js       use_backend static_servers         if url_static    default_backend dynamic_servers    backend static_servers     balanceroundrobin     serverimgsrv1 172.16.200.7:80 check maxconn 6000     serverimgsrv2 172.16.200.8:80 check maxconn 6000    backend dynamic_servers     cookie srvinsert nocache     balanceroundrobin     serverwebsrv1 172.16.200.7:80 check maxconn 1000 cookie websrv1     serverwebsrv2 172.16.200.8:80 check maxconn 1000 cookie websrv2     serverwebsrv3 172.16.200.9:80 check maxconn 1000 cookie websrv3