HAProxy的配置

进程及安全管理：chroot, deamon，user，group，uid，gid
    nbproc <number> ：要启动的haproxy 的进程数量，系统默认单进程，要求使用daemon 模式
    ulimit-n <number> ：每个haproxy 进程可打开的最大文件数，系统自动会指定，不建议设置
    daemon：后端方式运行，建议使用
    log ：定义全局的syslog 服务器，最多可以定义两个
        log <address> [len <length>] <facility> [max level [min level]]
    address：rsyslog 服务器地址
    len：记录日志的长度，默认我1024
日志：
    log：
        log global
        log <address> [len <length>] <facility> [<level>[<minlevel>]]
        no log
        注意：
            默认发往本机的日志服务器；
            (1) local2.* /var/log/local2.log
            (2) $ModLoad imudp
                $UDPServerRun 514
    log-format <string>：
        课外实践：参考文档实现combined
    将特定信息记录在日志中
        capture cookie <name> len <length>：
            捕获求和响应报文中的 cookie 并记录日志
        capture request header <name> len <length>：
            捕获请求报文中指定的首部并记录日志
            示例:
                capture request header X-Forwarded-For len 15
        capture response header <name> len <length>：
            捕获响应报文中指定的首部并记录日志
            示例：
                capture response header Content-length len 9
                capture response header Location len 15
性能调整：
    maxconn <number>：
        设定每个haproxy 进程所能接受的最大并发连接数
    maxconnrate <number>：
        设置每个进程每秒种所能建立的最大连接数量
    maxsessrate <number>：
        设置每个进程每秒种所能建立的最大会话数量
    maxsslconn <number>:  
        每进程支持SSL 的最大连接数量
    spread-checks <0..50, in percent> ：
        健康检测延迟时长比建议2-5
配置段
    代理配置段：
        - defaults <name>
        - frontend <name>
        - backend <name>
        - listen <name>
    Frontend 段：指定接收客户端连接侦听套接字设置
    Backend 段：指定将连接请求转发至后端服务器的相关设置
    Listen 对段：指定完整的前后端设置，只对TCP有效
    proxy 名称：使用“字母“，”数字”，“-”，“_”，“.”，“:” 并区分字符大小写
配置参数：
    bind ：指定一个或多个前端侦听地址和端口
        bind [<address>]:<port_range> [, ...] [param*]
    示例：
        listen http_proxy
        bind :80,:443
        bind 10.0.0.1:10080,10.0.0.1:10443
        bind /var/run/ssl-frontend.sock user root mode 600 accept-proxy
Balance 配置
    balance ：后端服务器组内的服务器调度算法
    balance <algorithm> [ <arguments> ]
    balance url_param <param> [check_post]
    调度算法：
        roundrobin ：基于权重轮询，动态算法， 支持权重在运行时调整，支持慢启动，每个后端backend 中最多支持4095 个server
            server options：weight #
        static-rr ：基于权重轮询，静态算法，不支持权重在运行时调整及慢启动，后端主机数量无上限
        leastconn ：加权最少连接，动态算法，最少连接的后端服务器优先分配接收新连接，相同连接时轮询，推荐在较长会话的场景使用 ，例如MySQL、LDAP 等，不适合http。
        first ：根据服务器在列表中的位置，自上而下进行调度，前面服务器的连接数达到上限，新请求才会分配给下一台服务
        source ：源地址hash ，新连接先按权重分配，后续连接按source 分配请求
    uri：
        对URI 的左半部分或整个uri 做hash 计算，并除以服务器总权重取模，以后派发至某挑出的服务器, 适用于后端缓存服务器
            <scheme>://<user>:<password>@<host>:<port>/<path>;<params>?<query>#<frag>
        左半部分：/<path>;<params>
        整个uri ：/<path>;<params>?<query>#<frag>
    url_param：
        对用户请求的uri 中的<params> 部分中的参数的值作hash 计算，并由服务器总权重相除以后派发至某挑出的服务器，通常用于追踪用户，以确保来自同一个用户的请求始终发往同一个Backend Server
    hdr(<name>) ：
        对于每个http 请求，此处由<name> 指定的http首部将会被取出做hash计算，并由服务器总权重相除以后派发至某挑出的服务器，无有效值的会被轮询调度。
            hdr(Cookie)
    rdp-cookie 远程桌面相关
    rdp-cookie(<name>)
哈希算法（hash）
    hash-type ：
        hash-type <method> <function> <modifier>
        method:
            map-based ：除权取余法，哈希数据结构是静态数组
            consistent ：一致性哈希，哈希数据结构是一棵树
            <function> :  哈希函数
                sdbm djb2 wt6
    default_backend <backend>
        无use_backend匹配时，使用默认的backend ，用于frontend中
    default-server [param*]
        为backend 中的各server设定默认选项

后端配置：
    server <name> <address>[:[port]] [param*]
        定义后端主机的各服务器及其选项
        server <name> <address>[:port] [settings ...]
        default-server [settings ...]
        <name> ：服务器在haproxy 上的内部名称；出现在日志及警告信息
        <address> ：服务器地址，支持使用主机名
        [:[port]] ：端口映射；省略时，表示同bind 中绑定的端口
        [param*] ：参数
            weight <weight> ：权重，默认为1
            maxconn <maxconn> ：当前后端server 的最大并发连接数
            backlog <backlog> ：当server 的连接数达到上限后的后援队列长度
            backup ：设定当前server 为备用服务器Sorry Server
健康状态检测
    check ：对当前server 做健康状态检测，只用于四层检测
        注意：httpchk，“smtpchk”, “mysql-check”, “pgsql-check” 和“ssl-hello-chk”  用于定义应用层检测方法
        addr：检测时使用的IP地址
        port：针对此端口进行检测
        inter <delay> ：检测之间的时间间隔，默认为2000ms
        rise <count> ：连续多少次检测结果为“成功”才标记服务器为可用；默认为2
        fall <count> ：连续多少次检测结果为“失败”才标记服务器为不可用；默认为3
    disabled ：标记为不可用
    redir <prefix> ：将发往此server 的所有GET 和HEAD 类的请求重定向至指定的URL
    对后端服务器做http 协议健康状态检测：通常用于bendend
        option httpchk 默认为：/ OPTIONS HTTP/1.0
        option httpchk <uri>
        option httpchk <method> <uri>
        option httpchk <method> <uri> <version>
            定义基于http 协议的7 层健康状态检测机制
        http-check expect [!] <match> <pattern>
            http 协议健康 状态检测
    
cookie 配置
    cookie <value> ：为当前server 指定cookie 值，实现基于cookie 的会话黏性
    cookie <name> [ rewrite | insert | prefix ] [ indirect ][ nocache ] [ postonly ] [ preserve ] [ httponly ] [secure ] [ domain <domain> ]* [ maxidle <idle> ] [maxlife <life> ]
        <name>：cookie 名称，用于实现持久连接
        rewrite ：重写
        insert ：插入
        prefix：前缀
    示例：
        基于cookie 的session sticky 的实现：
        backend websrvs
            cookie WEBSRV insert nocache
            server srv1 172.16.100.6:80 weight 2 check rise 1 fall 2 maxconn 3000 cookie srv1
            server srv2 172.16.100.7:80 weight 1 check rise 1 fall 2 maxconn 3000 cookie srv2
统计接口启用的相关参数
    stats enable
        启用统计页；基于默认的参数启用stats page
            - stats uri : /haproxy?stats uri 默认值
            - stats realm : HAProxy\ Statistics
            - stats auth : no authentication
    stats uri <prefix>
        自定义stats page uri, 默认为
    stats auth <user>:<passwd>
        认证时的账号和密码，可使用多次
    stats realm <realm>
        认证时的realm
    stats hide-version
        隐藏 版本
    stats refresh <delay>
        设定自动刷新时间间隔
    stats admin { if | unless } <cond>
        启用stats page 中的管理功能
    配置示例：
        listen stats
            bind :9999
            stats enable
            stats realm HAPorxy\ Stats\ Page
            stats auth admin1:password1
            stats auth admin1:password2
            stats refresh 3s
            stats admin if TRUE
工作模式
    maxconn <conns> ：为指定的frontend 定义其最大并发连接数，默认为3000
    mode { tcp|http|health }
        定义haproxy 的工作模式
        tcp ：基于layer4 实现代理，可代理mysql, pgsql, ssh,ssl 等协议，https 时使用此模式，默认模式
        http ：仅当代理协议为http 时使用,centos 实际默认模式
        health ：工作为健康状态检查的响应模式，当连接请求到达时回应“OK”
    tcp模式示例：
        listen ssh
            bind :22022
            balance leastconn
            mode tcp
            server sshsrv1 172.16.100.6:22 check
            server sshsrv2 172.16.100.7:22 check


forwardfor 配置
    option forwardfor [ except <network> ] [ header <name> ][ if-none ]
        在由haproxy 发往后端主机的请求报文中添加“X-Forwarded-For” 首部，其值为前端客户端的地址；用于向后端主发送真实的客户端IP。
        [ except <network> ] ：请求报文来自此处指定的网络时不予添加此首部，如haproxy 自身所在网络
        [ header <name> ] ：使用自定义的首部名称，而非“X-Forwarded-For”
        [ if-none ] 如果没有首部才添加首部，如果有使用默认值
    为指定的MIME 类型启用压缩传输功能
        compression algo <algorithm> ... ：启用http 协议的压缩机制，指明压缩算法gzip, deflate
        compression type <mime type> ... ：指明压缩的MIMI
错误页配置
     errorfile <code> <file>  自定义错误页
        <code> ：HTTP status code.
            支持200, 400, 403, 408, 500, 502, 503, 504.
        <file> ：错误页文件路径
    示例：
        errorfile 400 /etc/haproxy/errorfiles/400badreq.http
        errorfile 408 /dev/null # workaround Chrome pre-connect bug
        errorfile 403 /etc/haproxy/errorfiles/403forbid.http
        errorfile 503 /etc/haproxy/errorfiles/503sorry.http
    errorloc <code> <url>
        相当于errorloc302 <code> <url> ，利用302 重定向至指URL errorloc 503 http://www.magedu.com/error_pages/503.html
修改报文首部
    在请求报文尾部添加指定首部
        reqadd <string> [{if | unless} <cond>]
    在响应报文尾部添加指定首部
        rspadd <string> [{if | unless} <cond>]
        示例：rspadd X-Via:\ HAPorxy
    从请求报文中删除匹配正则表达式的首部
        reqdel <search> [{if | unless} <cond>]
        reqidel <search> [{if | unless} <cond>]  不分大小写
    从响应报文中删除匹配正则表达式的首部
        rspdel <search> [{if | unless} <cond>]
        rspidel <search> [{if | unless} <cond>]  不分大 小写
        示例： rspidel server.*
连接超时
    timeout client <timeout>
        客户端最长空闲连接超时时长  默认单位是毫秒
    timeout server <timeout>
        后端服务器最长空闲连接超时时长
    timeout http-keep-alive <timeout>
        持久连接的持久时长
    timeout http-request <timeout>
        一次完整的HTTP 请求的最大等待时长
    timeout connect <timeout>
        成功连接后端服务器的最大等待时长
    timeout client-fin <timeout>
        客户端 半连接的空闲时长
    timeout server-fin <timeout>
        后端服务器半连接的空闲时
ACL
    acl：
        访问控制列表（ACL ）的使用提供了一个灵活的解决方案来执行内容交换，并且通常基于从请求中提取的内容、响应或任何环境状态进行决策。
    acl <aclname> <criterion> [flags] [operator] [<value>] ...
        <aclname>：ACL 名称，可使用字母数字 : . - _区分字符大小写
        <criterion>：比较的标准和条件
    <value> 的类型：
        - boolean
        - integer or integer range
        - IP address / network
        - string (exact, substring, suffix, prefix, subdir,domain)
        - regular expression
        - hex block
    <flags>
        -i  不区分大小写
        -m  使用指定的pattern 匹配方法
        -n  不做DNS 解析
        -u  强制每个ACL 必须 唯一ID ，否则多个同名ACL或关系
        --  强制flag 结束.  当字符串和某个flag 相似时使用
    [operator]
        匹配整数值：eq 、ge 、gt 、le 、lt
        匹配字符串：
            - exact match (-m str) : 字符串必须完全匹配模式
            - substring match (-m sub) : 在提取的字符串中查找模式，如果其中任何一个被发现，ACL将匹配
            - prefix match (-m beg) : 在提取的字符串首部中查找模式，如果其中任何一个被发现，ACL将匹配
            - suffix match (-m end) : 将模式与提取字符串的尾部进行比较，如果其中任何一个匹配，则ACL 进行匹配
            - subdir match (-m dir) : 查看提取 出来的用斜线分隔（“ “/” ）的字符串， 如果其中任何一个匹配，则ACL 进行匹配
            - domain match (-m dom) : 查找提取的用点（“.” ）分隔字符串，如果其中任何一个匹配，则ACL 进行匹配
     acl 作为条件时的逻辑关系：
        -  与：隐式（默认）使用
        -  或：使用“or” 或“||” 表示
        -  否定：使用“!“  表示
        示例： 
            if invalid_src invalid_port 与关系
            if invalid_src || invalid_port 或
            if ! invalid_src 非
    <criterion> ：各种条件
        dst              目标IP
        dst_port      目标PORT
        src               源IP
        src_port       源PORT
        示例：acl invalid_src src 172.16.100.200
    base : string
        返回第一个主机头和请求的路径部分的连接，该请求从第一个斜杠开始，并在问号之前结束, 对虚拟主机有用
        <scheme>://<user>:<password>@<host>:<port>/<path>;<params>?<query>#<frag>
            base : exact string match
            base_beg : prefix match
            base_dir : subdir match
            base_dom : domain match
            base_end : suffix match
            base_len : length match
            base_reg : regex match
            base_sub : substring match
    path : string
        提取请求的URL 路径，该路径从第一个斜杠开始，并在问号之前结束（无主机部分）
        <scheme>://<user>:<password>@<host>:<port>/<path>;<
            params>?<query>#<frag>
            path : exact string match
            path_beg : prefix match
            path_dir : subdir match
            path_dom : domain match
            path_end : suffix match
            path_len : length match
            path_reg : regex match
            path_sub : substring match
    url : string
        提取请求中的URL，一个典型的应用是具有预取能力的缓存，以及需要从数据库聚合多个信息并将它们保存在缓存中的网页门户 入口
            url : exact string match
            url_beg : prefix match
            url_dir : subdir match
            url_dom : domain match
            url_end : suffix match
            url_len : length match
            url_reg : regex match
            url_sub : substring match
    req.hdr([<name>[,<occ>]]) : string
        提取在一个HTTP 请求报文的首部
        hdr([<name>[,<occ>]]) : exact string match
        hdr_beg([<name>[,<occ>]]) : prefix match
        hdr_dir([<name>[,<occ>]]) : subdir match
        hdr_dom([<name>[,<occ>]]) : domain match
        hdr_end([<name>[,<occ>]]) : suffix match
        hdr_len([<name>[,<occ>]]) : length match
        hdr_reg([<name>[,<occ>]]) : regex match
        hdr_sub([<name>[,<occ>]]) : substring match
        示例：
            acl bad_curl hdr_sub(User-Agent) -i curl
            block if bad_curl
    status : integer
        返回在响应报文中的状态码
    
    预定义ACL
        ACL名称   等价于     说明
        TRUE    always_true     总是匹配
        FALSE   always_false    从不匹配
        HTTP    req_proto_http  匹配HTTP 协议
        HTTP_1.0    req_ver 1.0     匹配HTTP 协议1.0
        HTTP_1.1    req_ver 1.1     匹配HTTP 协议1.1
        HTTP_CONTENT    hdr_val(content-length) gt 0    匹配已存在内容长度
        HTTP_URL_ABS    url_reg ^[^/:]*://  匹配URL 绝对路径
        HTTP_URL_SLASH  url_beg /   匹配URL 相对路径
        HTTP_URL_STAR   url *   匹配 URL 于 等于 "*"
        LOCALHOST    src 127.0.0.1/8     匹配从localhost 来的连接
        METH_CONNECT     method CONNECT     匹配HTTP CONNECT
        METH_GET     method GET HEAD    match HTTP GET or HEAD method
        METH_HEAD   method HEAD     match HTTP HEAD method
        METH_OPTIONS    method OPTIONS  match HTTP OPTIONS method
        METH_POST   method POST     match HTTP POST method
        METH_TRACE  method TRACE    match HTTP TRACE method
        RDP_COOKIE  req_rdp_cookie_cnt gt 0     match presence of an RDP cookie
        REQ_CONTENT     req_len gt 0    match data in the request buffer
        WAIT_ENDwait_end    wait for end of content analysis    
    
    配置
        use_backend <backend> [{if | unless} <condition>]
            当if/unless 一个基于ACL 的条件匹配时切换指定backend
        block { if | unless } <condition>
            阻止7 层请求if/unless 一个条件匹配
            示例：
                acl invalid_src src 172.16.200.2
                block if invalid_src
                errorfile 403 /etc/fstab
        http-request { allow | deny |add-header <name> <fmt>|set-header <name> <fmt> } [ { if | unless }<condition> ]
            对7 层请求的访问控制
         tcp-request connection {accept|reject} [{if | unless}<condition>]
            根据第4 层条件对传入连接执行操作
            示例：
                listen ssh
                bind :22222
                mode tcp
                balance leastconn
                acl invalid_src src 172.16.0.200
                tcp-request connection reject if invalid_src
                server sshsrv1 192.168.1.101:22 check
                server sshsrv2 192.168.1.102:22 check backup
    
    基于ACL 的动静分离示例
        frontend web *:80
            acl url_static path_beg -i /static /images /javascript/stylesheets
            acl url_static path_end -i .jpg .gif .png .css .js .html .txt .htm
            use_backend  staticsrvs if url_static
            default_backend appsrvs
        backend staticsrvs
            balance roundrobin
            server stcsrv1 172.16.100.6:80 check
        backend appsrvs
            balance roundrobin
            server app1 172.16.100.7:80 check
            server app1 172.16.100.7:8080 check
        listen stats
            bind :9091
            stats enable
            stats auth admin:admin
            stats admin if TRUE
        
支持https 协议
    配置HAProxy 支持https 协议：
    支持ssl 会话；
        bind *:443 ssl crt /PATH/TO/SOME_PEM_FILE
        crt  后证书文件为PEM 格式，且同时包含证书和所有私钥
        cat demo.crt demo.key > demo.pem
    把80 端口的请求重向定443
        bind *:80
        redirect scheme https if !{ ssl_fc }
    向后端传递用户请求的协议和端口（frontend 或backend） ）
        http_request set-header X-Forwarded-Port%[dst_port]
        http_request add-header X-Forwared-Proto https if { ssl_fc }