一.HAProxy介绍

• HAProxy: 是法国人Willy Tarreau开发的一个开源软件，是 一款应对客户端10000以上的同时连接的高性能的TCP和 HTTP负载均衡器。其功能是用来提供基于cookie的持久性， 基于内容的交换，过载保护的高级流量管制，自动故障切换 ，以正则表达式为基础的标题控制运行时间，基于Web的报 表，高级日志记录以帮助排除故障的应用或网络及其他功能
• LB Cluster:
  四层：lvs, nginx(stream)，haproxy(mode tcp)
  七层：http: nginx(http), haproxy(mode http), httpd

(1)HAProxy功能：

是TCP / HTTP反向代理服务器，尤其适合于高可用 性环境 
可以针对HTTP请求添加cookie，进行路由后端服务器 
可平衡负载至后端服务器，并支持持久连接 
支持基于cookie进行调度 
支持所有主服务器故障切换至备用服务器 
支持专用端口实现监控服务 
支持不影响现有连接情况下停止接受新连接请求 
可以在双向添加，修改或删除HTTP报文首部 
支持基于pattern实现连接请求的访问控制 
通过特定的URI为授权用户提供详细的状态信息
支持http反向代理 
支持动态程序的反向代理 
支持基于数据库的反向代理

(2)HAProxy组成

程序环境：
主程序：/usr/sbin/haproxy
配置文件：/etc/haproxy/haproxy.cfg
Unit file：/usr/lib/systemd/system/haproxy.service
配置段： 
global：全局配置段 进程及安全配置相关的参数 性能调整相关参数 Debug参数 
proxies：代理配置段
defaults：为frontend, backend, listen提供默认配置
fronted：前端，相当于nginx, server {}
backend：后端，相当于nginx, upstream {}
listen：同时拥有前端和后端,适用于一对一环境
简单的配置练习：vim /etc/haproxy/haproxy.cfg

image.png

在客户端上使用curl 172.18.254.242来测试

image.png

• 有关globe配置设置
  image.png
  global配置参数： 
  进程及安全管理：chroot, deamon，user, group, uid, gid
  nbproc <number>：要启动的haproxy的进程数量，系统 默认单进程，要求使用daemon模式
  ulimit-n <number>：每个haproxy进程可打开的最大文件 数，系统自动会指定，不建议设置
  daemon 后端方式运行，建议使用
  log：定义全局的syslog服务器；最多可以定义两个
  log <address> [len <length>] <facility> [max level [min level]]
  address： rsyslog服务器地址
  len： 记录日志的长度，默认1024

• log日志功能
  在globe中log对应的地址为本地地址，且记录在/var/log/haproxy.log文件中
  在/etc/rsyslog中设置

  
  image.png
  image.png
  

  在客户端上测试查看日志

  
  image.png
  也可以将本地地址改为远程地址，在远程上进行日志记录
  例如： log 192.168..136.134 local2
  并在134这个服务器端的日志配置文件中做相同操作
  设置完成后在客户端再进行测试查看日志记录
  image.png
  

  也就是说日志可以记录在本机也可以记录在远程服务器上

二.proxy配置段介绍

配置参数:
(1)bind：指定一个或多个前端侦听地址和端口

image.png

也可以监听多个端口或地址
bind :80, :8008
或者bind 172.18.254.22:80,172.254.243:80
(2)Listen设置：不区分前段后端，属于一一对应关系

image.png
将前端和后端结合在一起
(3)balance调度算法
balance:后端服务器组内的服务器调度算法

调度算法： 
1.roundrobin：基于权重轮询，动态算法，支持权重的运行时调整，支 持慢启动；每个后端backend中最多支持4095个server
server options： weight # 
2.static-rr：基于权重轮询，静态算法，不支持权重的运行时调整及慢 启动；后端主机数量无上限 
leastconn：加权最少连接，动态算法，最少连接的后端服务器优先分 配接收新连接，相同连接时轮询，推荐在较长会话的场景使用，例如 MySQL、LDAP等，不适合http 
3.first：根据服务器在列表中的位置，自上而下进行调度；前面服务器 的连接数达到上限，新请求才会分配给下一台服务 
4.source：源地址hash，新连接先按权重分配，后续连接按source分配 请求
5.uri： 对URI的左半部分或整个uri做hash计算，并除以服务器总权 重取模，以后派发至某挑出的服务器,适用于后端缓存服务器 <scheme>://<user>:<password>@<host>:<port>/<path> ;<params>?<query>#<frag>
左半部分：/<path>;<params>
整个uri：/<path>;<params>?<query>#<frag> 

image.png
在客户端测试：
image.png
6.url_param： 对用户请求的uri中的<params>部分中的参数的值作hash计算 ，并由服务器总权重相除以后派发至某挑出的服务器；通常用于追踪 用户，以确保来自同一个用户的请求始终发往同一个Backend Server
7.hdr(<name>)：对于每个http请求，此处由<name>指定的 http首部将会被取出做hash计算； 并由服务器总权重相除以 后派发至某挑出的服务器；无有效值的会被轮询调度 hdr(Cookie)
在客户端上vim /etc/hosts
image.png
通过访问Host的首部进行hash计算并被调度
image.png
8.rdp-cookie 远程桌面相关 
9.rdp-cookie(<name>)
(3)server配置
weight <weight>：权重，默认为1

maxconn <maxconn>：当前后端server的最大并发连接数
backlog <backlog>：当server的连接数达到上限后的后援队 列长度 backup：设定当前server为备用服务器Sorry Server

image.png
在haproxy服务器上将监听端口改为9527，将客户端全部停掉Http服务，此时sorryserver提供服务
(4)健康状态检测
check：对当前server做健康状态检测，只用于四层检测
注意：httpchk，“smtpchk”, “mysql-check”, “pgsqlcheck” and “ssl-hello-chk” 用于定义应用层检测方法
addr ：检测时使用的IP地址
port ：针对此端口进行检测
inter <delay>：检测之间的时间间隔，默认为2000ms
rise <count>：连续多少次检测结果为“成功”才标记服 务器为可用；默认为2
fall <count>：连续多少次检测结果为“失败”才标记服 务器为不可用；默认为3 
image.png
在rs服务器上设置一个另外一个地址133的地址，检测机制是检查133地址而不是134的地址所以当133网址关掉后，就不会将往134的服务器上进行调度，结果连134的地址都不可用
disabled：标记为不可用
临时不可用，在实际工作中，当某个服务器需要维护或更新时，可以将改地址设为disabled，这样就不会往该服务器上调度
redir <prefix>：将发往此server的所有GET和HEAD类的请 求重定向至指定的URL
image.png
在客户端上curl -L 172.18.254.242只要访问rs2就会被调度到haproxy服务器上
image.png
(5)cookie配置 
cookie <value>：为当前server指定cookie值，实现基于
cookie的会话黏性
cookie <name> [ rewrite | insert | prefix ] [ indirect ] [ nocache ] [ postonly ] [ preserve ] [ httponly ] [ secure ] [ domain <domain> ]* [ maxidle <idle> ] [ maxlife <life> ]
<name>：cookie名称，用于实现持久连接
rewrite：重写
insert：插入
prefix：前缀
image.png
在客户端curl -I 172.18.254.242
image.png
实现绑定，只会往rs1调度
curl -b SRV=srv2 172.18.254.242就会调度到rs2上
(5)统计接口启用相关的参数
stats enable
启用统计页；基于默认的参数启用stats page

• stats uri : /haproxy?stats uri默认值
• stats realm : HAProxy\ Statistics
• stats auth : no authentication 
  stats uri <prefix> 自定义stats page uri,默认为 
  stats auth <user>:<passwd> 认证时的账号和密码，可使用多次  stats realm <realm> 认证时的realm 
  stats hide-version 隐藏版本
  image.png
  image.png
  演示示例：
  image.png
  显示结果：
  image.png
  (6)工作模式
  maxconn <conns>：为指定的frontend定义其最大并发连接 数；默认为3000 
  image.png
  image.png
  mode { tcp|http|health } 定义haproxy的工作模式
  tcp：基于layer4实现代理；可代理mysql, pgsql, ssh, ssl等协议,https时使用此模式，默认模式
  http：仅当代理协议为http时使用,centos实际默认模式
  health：工作为健康状态检查的响应模式，当连接请求到 达时回应“OK”后即断开连接，较少使用
  (7)健康状态检测
  对后端服务器做http协议健康状态检测：
  通常用于bendend option httpchk 默认为：/ OPTIONS HTTP/1.0 option httpchk <uri>
  option httpchk <method> <uri>
  option httpchk <method> <uri> <version> 定义基于http协议的7层健康状态检测机制
  http-check expect [!] <match> <pattern> http协议健康状态检测响应内容或指定响应码
  image.png
  tail -f /var/log/httpd/access_log
  image.png
  当将某个rs服务器端的index.html删除，通过haproxy的代理服务器的检查，将不会再往该服务器上调度
  因为haproxy代理服务器默认访问的是rs服务器上的index.html页面
  image.png
  (8)forwardfor配置
  option forwardfor [ except <network> ] [ header <name> ] [ if-none ] 在由haproxy发往后端主机的请求报文中添加“X-ForwardedFor”首部，其值为前端客户端的地址；用于向后端主发送真实的客户 端IP
  [ except <network> ]：请求报请来自此处指定的网络时不予 添加此首部，如haproxy自身所在网络
  [ header <name> ]：使用自定义的首部名称，而非“XForwarded-For”
  [ if-none ] 如果没有首部才添加首部，如果有使用默认值 
  为指定的MIME类型启用压缩传输功能
  compression algo <algorithm> ...：启用http协议的压缩机 制，指明压缩算法gzip, deflate
  compression type <mime type> ...：指明压缩的MIMI类型
  实验：自定义首部信息
  在客户端httpd.conf文件中修改指定的默认日志记录格式，内容如下图
  image.png
  并将默认的访问日志格式改为haformat
  在haproxy服务器上将默认的forwardfor的首部信息进行修改，修改如图
  image.png
  在客户端进行访问观察日记的记录的格式
  或者在日志文件中修改为
  image.png
  显示结果如下
  image.png
  (9)错误页配置
  errorfile <code> <file> 自定义错误页
  <code>：HTTP status code.
  支持200, 400, 403, 408, 500, 502, 503, 504.
  image.png
  <file>：错误页文件路径 
  示例：
  errorfile 400 /etc/haproxy/errorfiles/400badreq.http
  errorfile 408 /dev/null # workaround Chrome preconnect bug errorfile 403 /etc/haproxy/errorfiles/403forbid.http
  errorfile 503 /etc/haproxy/errorfiles/503sorry.http 
  errorloc <code> <url>
  相当于errorloc302 <code> <url>，利用302重定向至指URL errorloc 503 http://www.magedu.com/error_pages/503.html
  image.png
  (10)修改报文首部
  在请求报文尾部添加指定首部 reqadd <string> [{if | unless} <cond>]
  image.png
  在响应报文尾部添加指定首部 rspadd <string> [{if | unless} <cond>]
  示例：rspadd X-Via:\ HAPorxy 
  从请求报文中删除匹配正则表达式的首部
  reqdel <search> [{if | unless} <cond>]
  reqidel <search> [{if | unless} <cond>] 不分大小写从响应报文中删除匹配正则表达式的首部
  rspdel <search> [{if | unless} <cond>]
  rspidel <search> [{if | unless} <cond>] 不分大小写 示例： rspidel server.*
  image.png
  image.png
  (11)ACL
  以实例举例来进行说明
  image.png
  拒绝该地址的访问
  image.png
  如果写成unless代表用||代表或
  image.png
  image.png
  image.png
  根据路径来拒绝访问
  image.png
  image.png
  阻止图片的访问，其他的不阻止
  image.png
  实验：实现简单的动静分离访问
  当访问静态页面时如图片或是js,css,.html等就只往rs2上调度，如果访问的是.php页面就往rs1调度
  步骤：
  vim /etc/haproxy/haproxy.cfg
  frontend http
  bind 172.18.254.242:80
  maxconn 5000
  acl staticfile path_end .jpg .js .css .html
  acl appfile path_end .php
  use_backend staticsrvs2 if staticfile
  use_backend appsrvs1 if appfile
  default_backend appsrvs1
  backend appsrvs1
  balance roundrobin
  server webserver1 192.168.136.134:80 check weight 1
  backend staticsrvs2
  balance roundrobin
  server webserver2 192.168.136.183:80 check weight 1 maxconn 5000
  测试结果如图：
  image.png
  只要访问.html和.jpg就往staticsrvs2上调度
  image.png
  image.png
  实现通过域名的访问调度机制(提取http协议请求报文)
  image.png
  在客户端测试
  image.png
  拒绝访问头部信息
  image.png
  image.png
  拒绝用户访问首部信息 curl -i命令被禁止
  image.png
  取反命令应用
  image.png
  通过curl命令访问拒绝，但是用过curl -I访问允许
  注意： image.png
  image.png
  (12)配置
  tcp-request connection {accept|reject} [{if | unless} <condition>]
  根据第4层条件对传入连接执行操作
  实验加以说明：通过tcp协议访问mysql数据页面
  vim /etc/haproxy/haproxy.cfg
  frontend mysql
  bind 172.18.254.242:3306
  mode tcp ——一定要写因为不再使用默认的httpd协议，所以要写明协议
  default_backend mysqlsrvs
  backend mysqlsrvs
  mode tcp
  server mysql1 192.168.136.134:3306
  server mysql2 192.168.136.183:3306
  在rs服务器端安装mysqld或是mariadb
  然后打开mysql,创建远程登录用户
  image.png
  image.png
  在客户端进行测试： mysql -uroot -pcentos -h172.18.254.242
  image.png
  image.png
  测试结果如图：实现轮询调度访问数据库
  image.png
  实现基于tcp协议的ssh命令的访问调度
  image.png
  vim /etcssh/sshd_config
  image.png
  在客户端测试 ssh 172.18.254.242
  (13)https协议
  支持ssl会话
  首先在haproxy的服务端上生成自签名证书
  cd /etc/pki/tls/certs
  make /etc/haproxy/haproxy.pem——将证书和私钥在一起生成
  vim /etc/haproxy/haproxy.cfg
  frontend http
  bind 172.18.254.242:80
  bind 172.18.254.242:443 ssl crt /etc/haproxy/haproxy.pem
  maxconn 5500
  default_backend appsrvs1
  backend appsrvs1
  balance roundrobin
  server webserver1 192.168.136.134:80 check weight 1
  server webserver2 192.168.136.183:80 check weight 1
  backend staticsrvs2
  balance roundrobin
  server webserver2 192.168.136.183:80 check weight 1 maxconn 5000
  在客户端测试
  image.png
  把80端口的请求重向定443 访问不加密的http协议时会自动跳转到https协议上
  bind 172.18.254.242:80 redirect scheme https if !{ ssl_fc }
  image.png
  客户端上进行测试
  image.png
  在后端服务器上修改日志格式，在haproxy服务器上设置首部添加信息，显示访问的端口信息
  image.png
  显示客户端的访问端口
  image.png