HAProxy基础

示例：

/#Add "X-Proto: SSL" to requests coming via port 81 acl is-ssl dst_port 81reqadd X-Proto: SSL if is-ssl/#remove X-Forwarded-For header and SERVER cookie reqidel ^X-Forwarded-For:./*reqidel^Cookie:./*SERVER=

附上：官方1.5使用手册

四、  ACL

ACL（Access Control List），即访问控制列表，HAProxy的ACL提供了一种灵活的解决方案来执行内容切换，并且通常基于从请求，响应或任何环境状态中提取的内容来做出决策。控制列表原则很简单：

• 从数据流，表，环境中提取数据样本
• 对提取的样本可选地应用格式转换
• 对一个样本应用一个或多个模式匹配
• 当模式匹配样本时才执行动作

需要提醒的是，获取的样本数据不光可以使用在acl中，也可以使用别处，例如记录log中。

定义ACL语法：acl [flags] [operator] [] ...

: ACL名称,必须由大写和小写字母，数字，' - '（短划线），'_'（下划线），'.' 组成。ACL名称区分大小写

:获取样本方法的名称,可以分为tcp和http类型，常用获取样本方法名称如下:/#/#/#基于tcp的criterion/#/#/#/#/# dst : /#目标ip dstport : /#目标端口 src : /#源ip srcport : /#源端口 /#/#/#基于http的criterion/#/#/#/#/#/#/#/#urlpath相关/#ps: path从第一个"/"开始，不包含host，不包含参数 path : /#精确匹配 pathbeg : /#前缀匹配 pathdir : /#子串匹配 pathdom : /#子域名匹配 pathend : /#路径后缀匹配 pathlen : /#路径长度匹配 pathreg : /#路径的正则表达式模式匹配 pathsub : /#路径的子字串匹配 /#/#/#url相关/#ps:url包含了包含host和path以及参数 url : /#精确匹配 urlbeg : /#前缀匹配 urldir : /#子串匹配 urldom : /#子域名匹配 urlend : /#后缀匹配 urllen : /#长度匹配 urlreg : /#正则表达式匹配 urlsub : /#子字串匹配 /#/#/#http头信息相关 hdr([[,]]) : /#精确匹配 hdrbeg([[,]]) : /#前缀匹配 hdr_dir([[,]]) : /#子串匹配 hdr_dom([[,]]) : /#子域名匹配 hdr_end([[,]]) : /#后缀匹配 hdr_len([[,]]) : /#长度匹配 hdr_reg([[,]]) : /#正则表达式匹配 hdr_sub([[,]]) : /#子字串匹配 /#/#/#http请求方法 method [string] :/#匹配http请求方法，string为http方法

[flags]：标志，用于对进行局部调整，一下为可使用的列表：

-i : /#忽略大小写 -f filename : /#从文件中载入模式 -m method : /#指定模式匹配方法 -n : /#禁止DNS解析 -M : /#-f 载入的文件作为映射文件使用 -u : /#强制ACL的名称唯一 -- : /#强制结束flag结束，避免了字符串中含有的- 引起混淆 其中flag中的 -m 选项可使用的模式匹配方法如下，需要说明的是有些方法已被默认指定无需声明，例如int，ip："found" : /#只是用来探测数据流中是否存在指定数据，不进行任何比较 "bool" : /#检查结果返回布尔值。匹配没有模式，可以匹配布尔值或整数，不匹配0和false，其他值可以匹配 "int" : /#匹配整数类型数据；可以处理整数和布尔值类型样本，0代表false，1代表true "ip" : /#匹配IPv4，IPv6地址类型数据。该模式仅被IP地址兼容，不需要特别指定 "bin" : /#匹配二进制数据 "len" : /#匹配样本的长度的整数值 "str" : /#精确匹配，根据字符串匹配文本 "sub" : /#子串匹配，匹配文本是否包含子串 "reg" : /#正则匹配，根据正则表达式列表匹配文本 "beg" : /#前缀匹配，检查文本是否以指定字符串开头 "end" : /#后缀匹配，检查文本是否以指定字符串结尾 "dir" : /#子目录匹配，检查部分文本中以" / "作为分隔符的内容是否含有指定字符串 "dom" : /#域匹配。检查部分文本中以" . "作为分隔符的内容是否含有指定字符串

[operator]：操作符，通常分字符串和整数，如下

/#/#/#匹配整数值： eq /#等于 ge /#大于等于 gt /#大于 le /#小于 lt /#小于等于/#/#/#匹配字符串： exact match /#精确匹配 substring match /#子串匹配 prefix match /#前缀匹配 suffix match /#后缀匹配 subdir match /#子路径匹配 domain match /#子域名匹配[operator]

[]：值，操作符右边的值，通常为以下几种类型：

boolean /#布尔型 integer or integer range /#整数或整数范围 IP address / network /#IP或网络地址 string /#字符串 hex block /#16进制的块匹配value类型

在使用多个ACL作为条件可使用逻辑运算符：

• and /#默认操作符，可省略
• ||  /#或者使用
•  !  /#取反 

ACL之4层访问控制

四层访问控制一般只能针对IP以及端口来进行，其指定是 tcp-request。

语法：tcp-request connection [{if | unless} ]

• < condition >： 即为ACL定义的访问控制列表
• < action > ：常用值有 "accept", “reject”，代表着允许或者拒绝

示例:/#阻断来自非10.1.210.52访问80端口的请求 frontend webserver acl myhost src10.1.210.52acl myport dstport80tcp-request connection reject if!myhost myport bind0.0.0.0:80defaultbackend app

ACL之七层访问控制

七层上的访问控制方法有多种，列如可以利用http的报文、头信息、URL、PATH等相关信息进行访问控制，访问控制的指令也有多个，常用指令如下：/#阻断符合ACL的访问请求 block { if | unless } /#允许或拒绝http请求的控制指令 http-request { allow | deny} [ { if | unless } ]/#根据条件来调用指定后端 use_backend [{if | unless} ]

在以上控制指令中，block语法可以使用http-request deny代替。

示例一：根据条件制定后端服务器/#请求资源为图片，则调用图片服务器后端 acl picture pathend -i .jpg .png .gif usebackend server_imgif picture

示例二：阻断请求

/#根据http头信息中的User-Agent阻断火狐浏览器访问 frontend webserver bind0.0.0.0:80acl badcurl hdrsub(User-Agent) -i ./firefox./ /#hdrsub根据头信息中的字符串匹配 block ifbadcurl default_backend app

示例三：允许或拒绝http请求

/#拒绝POST HEAD 方式之外的HTTP请求 acl validmethod method POST HEAD http-request deny if ! validmethod

其他控制指令

除了以上控制指令还有比如内部状态控制指令，如会话速率：/#与后端建立会话速率，每秒钟建立的新会话 besessrate([]) : integer/#与前端代理会话建立速率，每秒钟建立的新会话 fe_sess_rate([frontend])

示例一：

/#某后端被请求速率大于100，则重定向至错误页，可以用于阻止一些攻击行为 mode http acl beingscanned besessrate gt100redirect location/denied.html if beingscanned

示例二：

/#限定入站邮件速率不能大于50封/秒，所有在此指定范围之外的请求都将被延时50毫秒 frontend mail bind :25mode tcp maxconn500acl toofast fesessrate ge50tcp-request inspect-delay 50ms tcp-request content accept if! toofast tcp-request content accept if WAIT_END

五、状态监控

HAProxy优点之一就是自带状态监控页面，开启监控页面需要配置stats enable。

开启statslisten admin bind/*:5656 /#定义监听端口 stats enable /#启用状态统计报告 stats auth admin:admin /#设置统计页面用户名和密码设置 stats uri /admin /#定义统计页面的URL，默认为/haproxy?stats stats hide-version /#隐藏统计页面上HAProxy的版本信息 stats refresh 30s /#统计页面自动刷新时间 stats admin if TRUE /#如果认证通过就做管理功能，可以管理后端的服务器 stats realm “LOGIN” /#登陆页面提示信息

访问：http://ip:5656/admin登陆后即可看到管理页面。

六、常用配置示例

https配置

frontend web /:80bind/:443 ssl crt /etc/haproxy/haproxy.crt /#haproxy.crt包含key和pem秘钥对 reqadd X-Forwarded-Proto: https /#头信息中添加https协议 redirect scheme https if !{ sslfc } /#将80端口跳转到443 defaultbackend webserver backend webserver balance roundrobin server app110.1.210.52:80check server app210.1.210.53:80 check

mysql代理（双主）

listen mysql_36 0.0.0.0:3306mode tcp option tcplog balance leastconn option tcpka option mysql-check user haproxy server10.1.210.52 10.1.210.53:3306 weight 1 check inter 1s rise 2 fall 2

动静分离

frontend webservs bind/*:80acl url_static path_beg-i /static /images /javascript /stylesheets acl url_static path_end-i .jpg .gif .png .css .js .html acl url_php path_end-i .php acl host_static hdr_beg(host)-i img. imgs. video. videos. ftp. image. download. use_backend staticif url_static orhost_static use_backend dynamicifurl_php default_backend dynamic backend static balance roundrobin server node110.1.210.52:80 check maxconn 1000backend dynamic balance roundrobin server node210.1.210.53:80 check maxconn 1000