HAproxy基础服务实现及相关参数讲解

HAproxy基础服务实现及相关参数讲解 HAproxy简单概述

HAProxy是免费极速且可靠的用于为TCP和基于HTTP应用程序提供代理服务的解决方案。是工作在应用空间的程序，跟Nginx一样受限于套接字。且只类同于Nginx四层和七层代理服务器仅此而已。但更多用在web反向代理上！！！ 
HAProxy还可以将后端的服务器与网络隔离，起到保护后端服务器的作用。HAProxy的负载均衡能力虽不如LVS，但也是相当不错。而且由于其工作在7层，可以对http请求报文做深入分析，按照自己的需要将报文转发至后端不同的服务器（例如动静分离），这一点工作在4层的LVS无法完成。 
其中一点点不同Nginx的是一个Master Worker模型负责接收用户请求，装载配置文件，平滑升级…但是更多的用户请求是通过worker来实现。而HAProxy是单一进程模型，支持多进程，但更多建议使用单一进程模型。使用单个进程直接响应用户多个请求，不启用子进程。也能够支持单进程巨大并发连接数，且必须支持事件驱动，如果不支持事件驱动，并发效率是可想而知。

HAproxy工作模式

HAProxy的工作模式一般有两种： 
tcp模式：实例运行于TCP模式，在客户端和服务器端之间将建立一个全双工的连接，且不会对7层报文做任何类型的检查，只能以简单模式工作。此为默认模式，通常用于SSL、SSH、SMTP等应用。 
http模式：实例运行于HTTP模式，客户端请求在转发至后端服务器之前将被深度分析，所有不与RFC格式兼容的请求都会被拒绝。 
注意：当实现内容交换时，前端和后端必须工作于同一种模式(一般都是HTTP模式)，否则将无法启动实例。 
工作模式可通过mode参数在default，frontend，listen，backend中实现定义。 
两种模块分别是:通过mod_tcp来限定反代模式和mod_http来实现负载均衡 
帮助文档地址：http://cbonte.github.io/haproxy-dconv/，其它的地址就别想了

HAproxy演示环境

实验平台：Windows10_64 
虚拟环境：基于Win系统搭建的VMware虚拟主机实现 
所需要的虚拟主机：三台，CentOS 7.2或者是CentOS 6.8，偏移CentOS 7.2 
虚拟主机各IP：node1–10.1.15.40, node2–10.1.15.41 node3–10.1.15.42 
node1节点–10.1.15.40，安装haproxy，其它两个节点做后端轮询。 
base收录版本1.5，但是马上要废弃了。官方最新版是1.7开发板（演示1.5）

HAproxy的安装

haproxy已经收录到了base仓库，所以我们直接yum安装就可以了，因为我这里实验使用的Centos7系统，所以还是使用YUM，其它发行版本可另行抉择。 
如果遇到yum安装报错You could try using –skip-broken to work around the problem 
可移除yum.repos.d目录下的所有文件，只留base.repo文件然后yum clean all 
再执行yum install

[root@localhost yum.repos.d]# yum install haproxy -y

HAproxy程序环境：

配置文件：/etc/haproxy/haproxy.cfg
Unit File： haproxy.service
主程序：/usr/sbin/haproxy
配置文件分两部分组成：
global：全局配置段
    进程及安全配置相关的参数
    性能调整相关的参数
    Debug相关的参数
proxies：代理配置段
    defaults：为frontend, backend以及listen提供默认配置；
    frontend：前端，相当于Nginx中的server{ ... }；
    backend：后端，相当于nginx中的upstream { ...  };
    listen：前后端的直接组合；

简单实现用haproxy实现后端主机代理，简单均衡 
1、> vim /etc/haproxy.cfg 在haprxoy 10.1.15.40主机上修改以下内容 
frontend main 
bind *:80,*:8080 
default_backend web 
# static backend for serving up p_w_picpaths, stylesheets and such 
backend web 
balance roundrobin 
server web1 10.1.15.41:80 check 
server web2 10.1.15.42:80 check 
2、在后端两台主机安装httpd启动服务，给指定网页分别叫backend1和backend2 
10.1.15.41 
vim /var/www/html 
<h1> backend 1 <h1> 
10.1.15.42 
vim /var/www/html 
<h1> backend 2 <h1> 


HAproxy相关配置参数全局段：

global配置参数： 
进程及安全配置相关的参数：user/uid, group/gid, nbproc, ulimit-n, ca-base, … 
log < address > [len < length >] < facility > [ max level [min level]] 
定义日志相关配置属性address是日志服务器的地址， [len < length >]是每行日志记录的最大长度 
举例：如何记录haproxy的日志呢？ 
1、 让haproxy服务器启用接收远程主机所传来的日志信息 
2、 如果启用local2.，指明local2.日志记录于何处 
3、如果启用日志，使用udp和tcp都可以，我们这里使用的udp,把注释去掉

vim /etc/rsyslog.conf 第一步
#Provides UDP syslog reception
$ModLoad imudp
$UDPServerRun 514

指明日志记录到哪里去  第二步
#Save boot messages also to boot.log
local2.*   /var/log/haproxy.log
systemctl restart rsyslog.service,确保UDP 514端口被监听
[root@localhost log]# cat haproxy.log 
Nov 12 13:26:24 localhost haproxy[23610]: 10.1.15.85:6703 [12/Nov/2016:13:26:24.829] main web/web1 0/0/0/3/3 200 280 - - ---- 1/1/0/1/0 0/0 "GET / HTTP/1.1"

性能调优相关参数 
maxconn < number>：设定单haproxy进程的最大并发连接数； 
maxconnrate < number>：设定单haproxy进程每秒所能接受的连接数； 
maxsslconn < number>：设定单haproxy进程的ssl连接最大并发连接数； 
maxsslrate < number>：单haproxy进程的ssl连接的创建速率上限； 
spread-checks <0..50, in percent> 
向后端主机做健康状态检测时，该如何散开检测机制 
tune.bufsize < number> 缓冲池大小 
tune.rcvbuf.client < number> 接收客户端请求时缓冲池大小 
tune.rcvbuf.server < number> 接收后端服务器的响应时缓冲池大小 
tune.sndbuf.client < number> 向客户端发送响应 
tune.sndbuf.server < number> 向服务端发送请求 
tune.ssl.cachesize < number> ssl的缓存大小 
tune.ssl.lifetime < timeout> ssl的缓存会话的有效时长 
Debugging： 
debug 尽量输出详细信息 
quiet 不输出详细信息 
Userlists：定义用户、组及用户列表； 
userlist < listname > 
group < groupname > [users < user >,< user >,(…)] 
user < username > [password|insecure-password < password >] 
strong text[groups < group >,< group >,(…)] 
Peers：把多个haproxy定义构建为同步集群 
peer 
peers 
其它未尽详细的参数请参考官方帮助文档 
http://cbonte.github.io/haproxy-dconv/1.5/configuration.html#3.1

HAproxy相关配置参数代理段：

关于代理段的详细参数在这里就不多说,还是请参考官方文档,太多了看起来头疼 
简要说下HAproxy的工作模式”Mode” 
Mode可以工作在default,listen.backend和frontend中,用来定义HAproxy到底工作在应用层还是传输层 
Mode主要用来定义haproxy的三种工作模型： 
tcp：基于layer4实现代理，可代理大多数基于tcp的应用层协议，例如ssh/mysql/pgsql等； 
http：工作在应用层,客户端的http请求会被深度解析； 
health：工作为健康状态检查响应模式，当请求到达时仅回应“OK”即断开连接；

HAproxy调度算法:

定义负载均衡的算法除了listen和backend段中也可以放在defaults段中，定义格式： 
balance < algorithm > [ < arguments > ] 
balance url_param [check_post [< max_wait >]] 
常见的调度算法 
roundrobin： 
动态算法：支持权重的运行时调整，支持慢启动；仅支持最大4095个后端活动主机 
server后面使用weight来定义权重； 
static-rr： 
基于权重进行轮询与roundrobin类似静态算法：不支持权重的运行时调整及慢启动；但后端主机数量无限制； 
leastconn： 
新的连接请求被派发至具有最少连接数目的后端服务器，动态算法，适用于较长时间会话的场景。 
source： 
将请求的源地址进行hash运算，并与后端服务器的总权重作取模运算后调度至某台服务器；同一IP地址的请求将始终被调度至某特定的服务器，可以使用hash-type修改此特性来确定动态还是静态算法 
hash表如何建立映射：除权重取模法，一致性hash 
hash-type： 
map-based：取模法，hash数据结构是静态数组； 
consistent：一致性哈希，哈希的数据结构是“树”； 
uri： 
对URI的左半部分(“？”之前的部分)或整个URI进行hash运算，并与后端服务器的总权重作取模运算后调度至某台服务器；同一URI的请求将始终被调度至某特定的服务器，静态算法，可以使用hash-type修改此特性；

hdr(< name >)： 
根据用户请求报文中指定的http首部的值进行调度，常用于实现对同一个虚拟主机的请求始终发往同个backend server。 
first: 
先到先得，服务器名称标识字符最短的优先调用。一台用完才用第二台，忽略权重。

**演示示例**

更改调度算法为source，把同一IP地址的请求将始终被调度至某特定的服务器
vim /etc/haproxy/haproxy.cfg
backend web
    balance     roundrobin //修改为source
    server       web1 10.1.15.41:80 check
    server       web2 10.1.15.42:80 check
systemctl reload haproxy.service //测试：http://19.1.15.40 

更改调度算法为uri，把同一页面请求通过调度算法发往到后端指定服务器
vim /etc/haproxy/haproxy.cfg
backend web
    balance     roundrobin //修改为uri
    server       web1 10.1.15.41:80 check
    server       web2 10.1.15.42:80 check
for i in {1..10}; do echo "test page $i at BACKEND 1 " > /var/www/html/test$i.html; done
systemctl reload haproxy.service

测试：
for i in {1..10}; do curl http://10.1.15.40/test$i.html;done
结果：把同一个被请求到的页面始终发往到指定的后端服务器上

更改调度算法为hdr，把同一浏览器的请求，始终发往到后端指定服务器上
vim /etc/haproxy/haproxy.cfg
backend web
    balance     roundrobin //修改为hdr(User-Agent)
    server       web1 10.1.15.41:80 check
    server       web2 10.1.15.42:80 check
systemctl reload haproxy.service
测试:
for i in {1..10}; do curl http://10.1.15.40/test$i.html;done 
结果：只要浏览器一样，请求始终被调度到指定后端服务器上

调整服务器的最大并发连接数，并启用stats页面做认证

定义并发数有两种方法： 
一种，全局定义，一种默认定义 
vim /etc/haproxy/haproxy.cfg 
frontend main //在此下面定义maxconn 10000 
bind * :80, * :8080 
maxconn 10000 
定义stats页面，在代理配置段四项中都可以定义 
vim /etc/haproxy/haproxy.cfg 
frontend main 
bind :80,:8080 
maxconn 10000 //最大并发连接数 
stats enable // 开启stats页面 
stats uri /admin?stats //自定义stats页面 
default_backend web //默认的后端主机标识web 
stats realm stats\ page\ area //开启认证界面 
stats auth admin:admin //认证用户名密码 
stats hide-version //隐藏版本信息 
stats refresh 5s //指定stats页面5秒刷新一次 
stats admin if TRUE //内建访问控制列表 
测试：http://10.1.15.40/haproxy?stats

对后端服务器做健康状况检测

check为server的参数，可启动对此server执行健康状态的检测。check借助其额外的参数可实现更精细的监测机制。 
inter < delay>： 
健康状态检测的时间间隔，单位为毫秒，默认为2000，可以使用fastinter和downinter来根据服务器端状态优化此时间延迟 
rise < count>： 
健康状态检测中某离线的server从离线状态转换至正常状态需要成功检查的次数 
fall < count>： 
确认server从正常状态转换为不可用状态需要检查的次数 
默认为传输层检测，即探测端口是否能响应。 
需要执行应用层检测，则需要 
httpchk, smtpchk, mysql-check, pgsql-check, ssl-hello-chk； 
vim /etc/haproxy/haproxy.cfg 
backend web //下面修改内容 
balance roundrobin 
server web1 10.1.15.41:80 weight 2 maxconn 5000 check inter 1 rise 1 fall 2 
server web2 10.1.15.42:80 weight 1 maxconn 3000 check inter 1 rise 1 fall 2 
测试：10.1.15.40/haproxy?stats

对后端服务器做加权轮询

vim /etc/haproxy/haproxy.cfg
backend web //在后端主机下列加入
balance roundrobin
server  web1 10.1.15.41:80 check weight 2 maxconn 5000 cookie web1
server  web2 10.1.15.42:80 check weight 1 maxconn 3000 cookie web2
systemctl reload haproxy.service

测试:
for i in {1..10}; do curl http://10.1.15.40/index.html;done 
结果：权重weight，并发maxconn，指定的值cookie 
注意：修改后端服务器的调度算法：一定要重启haproxy的服务，reload是不成功

基于cookie的session绑定

在响应报文中添加cookie信息，下一次的客户请求会带上这个cookie信息，服务器端根据cookie将请求始终定向至后端的某一台服务器，可用于保持session会话。 
而cookie信息该怎么插入进来 
rewrite: 重新改写原有的所有cookie 
insert: 在原有cookie信息当中插入 
prefix: 在原有cookie附加为前缀

举例：把基于浏览器的用户会话访问，对当前服务器讲第一次调度到某个主机，那么就调度某主机
vim /etc/haproxy/haproxy.cfg
backend web //在后端主机下列加入
balance roundrobin
cookie webserver insert nocache indirect
server  web1 10.1.15.41:80 check weight 2 maxconn 5000 cookie web1
server  web2 10.1.15.42:80 check weight 1 maxconn 3000 cookie web2
服务器第一次为某客户度挑选中的主机，会把webserver中的参数值赋值到web1上或者web2上
systemctl reload haproxy.service

测试:
for i in {1..10}; do curl http://10.1.15.40;done 
[root@localhost haproxy]# curl -I 10.1.15.40

自定义haproxy错误页面

vim /etc/haproxy/haproxy.cfg
frontend  main 
bind *:80,*:8080
maxconn 10000
stats enable
default_backend web
stats realm stats\ page\ area
stats auth admin:admin
stats hide-version
stats refresh 5s
stats admin if TRUE
#errorfile 503 /etc/haproxy/errorfiles/503sorry.http //直接以文件形式显示错误页面
errorloc 503 http://10.1.15.40:9527/errorpagetest.html // 直接以url形式显示错误页面，重定向302
errorloc 503 http://www.baidu.com
mkdir /etc/haproxy/errorfiles      
vim  /etc/haproxy/errorfiles/503sorry/http
< h1 >sorry page home < h1 >
systemctl reload haproxy.service

测试:stop后端所有主机，然后请求haproxy前端主机地址 ：10.1.15.40option forwardfor

客户端的请求经前端的代理服务器转发至后端的web服务器，代理服务器在转发时将目标地址改为后端的某台web服务器地址，将源地址由client ip（客户端地址）改为自己面向后端服务器的地址。后端的web服务器若使用默认格式记录日志，则记录的客户端IP地址都为前端的代理服务器地址。这时需要在发往后端的请求报文中添加内容为客户端IP地址的首部，以便后端的web服务器能够正确获取客户端地址。 
x-forwardfor 
在配置文件默认段里已经定义了转发，所以我们直接用就可以了。 
vim /etc/haproxy/haproxy.cfg 
defaults 
option forwardfor except 127.0.0.0/8 
然后修改两台后端主机的httpd.conf文件，vim /etc/httpd/conf/httpd.conf 
把LogFormat %h修改为{X-forwarded-For}i 
重启服务systemctl restart httpd.service 
在haproxy前端主机上刷新下页面。然后在后端主机看日志是否记录的是客户端的真实地址就可以。 
tail /var/log/httpd/access.log看请求的是真实的客户端地址功能就实现了。

修改请求或响应报文首部相关：

增加响应报文相关信息 
frontend main 
rspadd X-Via:\ HAProxy/1,5 
rspidel Server.* 
rspadd X-Via:\ HAProxy/1,5 
客户端请求看一看在Response Headers报文里有没有值：X-Via:HAProxy/1,5 
删除响应报文Server相关信息 
rspidel Server.*

ACL basics

HAPAroxy的ACL能够通过检测请求报文的首部、响应报文的内容或其他的环境状态信息作出转发决策，增强了其配置d性。 
配置分两步骤：首先定义ACL，即定义一个测试条件，再定义动作，即满足测试条件的情况下执行的某特定动作。 
语法格式： 
acl < aclname> < criterion> [flags] [operator] [< value>] … 
取值类型： 
– boolean 
– integer or integer range 
– IP address / network 
– string (exact, substring, suffix, prefix, subdir, domain) 
– regular expression 
– hex block 
匹配的 *** 作符：数值匹配，字符串匹配，逻辑条件等… 
注意注意：语法太多，让人很蛋疼，简直太头疼，咋么那么多 
注意注意：自定义ACL全部都是小写

四层匹配，举例：
vim /etc/haproxy/haproxy.cfg
在 frontend  main 中定义
acl myhost src 10.1.15.85
acl myport dst_port 8080
block if !myhost myport
任何人试图去访问8080端口时，但不是来自于myhost主机就全部拒绝 
七层匹配，举例：
acl text_file  path_end  -i  .txt
block if text_file
任何人去试图访问txt文件，结尾不区分大小写的全部拒绝
举例：匹配某个浏览器类型
acl chrome hdr_reg(User-Agent) -i .*chrome.*$
block if chrome

HTTP层访问控制指令

acl valid_method method GET HEAD
http-request deny if ! valid_method 
举例：
acl myhost src 10.1.15.40
http-request deny if url_admin !myhost

动静分离

frontend main *:5000 
acl url_static path_beg -i /static /p_w_picpaths /javascript /stylesheets 
acl url_static path_end -i .jpg .gif .png .css .js 
use_backend static if url_static //如果上面的条件满足调至backend static主机 
default_backend app //否则调至app主机 
backend static 
balance roundrobin 
server static 127.0.0.1:4331 check 
round robin balancing between the various backends 
backend app 
balance roundrobin 
server app1 127.0.0.1:5001 check 
server app2 127.0.0.1:5002 check 
server app3 127.0.0.1:5003 check 
server app4 127.0.0.1:5004 check 

done！！！