Haproxy 端口转发及负载均衡配置

Haproxy 端口转发及负载均衡配置

前面已经详细介绍了Haproxy基础知识 , 今天这里再赘述下Haproxy的重定向跳转的设置.  haproxy利用acl来实现haproxy动静分离,然而在许多运维应用环境中,可能需要将访问的站点请求跳转到指定的站点上,比如客户单端访问kevin.a.com需要将请求转发到bobo.b.com或将http请求重定向到https请求,再比如当客户端访问出错时,需要将错误code代码提示请求到指定的错误页面,诸如此类需求实现,这种情况下就需要利用haproxy的重定向功能来达到此目的。

Haproxy是一款提供高可用性、负载均衡以及基于TCP(第四层)和HTTP(第七层)应用的代理软件,支持虚拟主机,它是免费、快速并且可靠的一种解决方案。 Haproxy特别适用于那些负载特大的web站点,这些站点通常又需要会话保持或七层处理。Haproxy运行在时下的硬件上,完全可以支持数以万计的 并发连接。并且它的运行模式使得它可以很简单安全的整合进您当前的架构中, 同时可以保护你的web服务器不被暴露到网络上。

Haproxy实现了一种事件驱动、单一进程模型,此模型支持非常大的并发连接数。多进程或多线程模型受内存限制 、系统调度器限制以及无处不在的锁限制,很少能处理数千并发连接。事件驱动模型因为在有更好的资源和时间管理的用户端(User-Space) 实现所有这些任务,所以没有这些问题。此模型的弊端是,在多核系统上,这些程序通常扩展性较差。这就是为什么他们必须进行优化以 使每个CPU时间片(Cycle)做更多的工作。

Haproxy支持连接拒绝 : 因为维护一个连接的打开的开销是很低的,有时我们很需要限制攻击蠕虫(attack bots),也就是说限制它们的连接打开从而限制它们的危害。 这个已经为一个陷于小型DDoS攻击的网站开发了而且已经拯救了很多站点,这个优点也是其它负载均衡器没有的。

一. Haproxy实现request请求重定向

关于Hproxy 请求重定向主要会用到: redirect 和 redir 这两类重定向配置语法。

1) redirect重定向用法: (redirect通常配置在haproxy acl部分)
redirect一般有两个指令来执行HTTP重定向:
http-requets redirect       #此种方式支持日志变量格式
redirect                           #此种方式只依赖于静态字符串

这两个指令的语法是相同的,即redirect现在被认为是传统和配置应该移动到http-request redirect形式。
还有一个主要区别是:http-request redirect使用日志可变格式, 而redirect语句只依赖于静态字符串。
2) redirect三种重定向方式
a) 位置重定向
使用语法如下:
redirect location <loc> [code <code>] <option> [{if | unless} <condition>]

使用位置重定向,例如下面所示指令可以将用户重定向到所提供的精确位置, 该位置可以是第三方URL链接,也可以是本地web服务的另一个访问路径.
1.http-request redirect location <loc> [code <code>] [<option>] [<condition>]
2.redirect location <loc> [code <code>] [<option>] [<condition>]

相关指令参数如下:
* <loc> :一个日志格式变量 (或简单的字符串redirect语句)描述了新位置;
* code <code>(可选):HTTP重定向的状态代码来执行。 此选项下的允许的状态码如下所示:



* <option>(可选):  可以是以下任何或组合的声明:
1. set-cookie NAME[=value] :一个Set-Cookie头部被添加到重定向。该cookie被命名为名称,可以有一个可选的值值。
2. clear-cookie NAME[=]一个特殊的Set-Cookie头被添加到重定向。该Cookie名为名称和最大年龄的cookie参数设置为0,目的是为了指示浏览器删除cookie。 

注意:  在于浏览器中,这是两个不同的Cookie:NAME和NAME = 以上根据您的流量模式,必须将两个语句适应。

* if | unless :  用于条件判断
*<condition> (可选):用于匹配acl,一般为acl的名称

b) 前缀重定向
使用语法如下:
redirect prefix <loc> [code <code>] <option> [{if | unless} <condition>]

使用前缀重定向,将用户重定向到由concateneting建立了一个网址<pfx>和完整的原始URI路径:
1. http-request redirect prefix <pfx> [code <code>] [<option>] [<condition>]
2. redirect prefix <pfx> [code <code>] [<option>] [<condition>]

相关指令参数如下:
* <pfx>: 一个日志格式变量 (或简单的字符串redirect语句)描述了新的位置前缀。
* code <code>(可选):HTTP重定向的状态代码来执行。 此选项下的允许的状态码如下所示:



* <option>(可选): 可以是以下任何或组合的声明:
drop-query :在执行串联时从原来的URL删除查询字符串
append-slash :配合使用drop-query ,在该URL的末尾添加一个“/”字符
set-cookie NAME[=value] :一个Set-Cookie头部被添加到重定向。该cookie被命名为名称,可以有一个可选的值值。
clear-cookie NAME[=] :一个特殊的Set-Cookie头被添加到重定向。该Cookie名为名称和最大年龄的cookie参数设置为0,目的是为了指示浏览器删除cookie。

* if | unless :用于条件判断
* <condition> (可选):用于匹配acl,一般为acl的名称 

c) 协议(计划)重定向(比如将http重定向到https)
使用语法如下:
redirect scheme <sch> [code <code>] <option> [{if | unless} <condition>]

使用位置重定向,例如下面所示指令可以将用户重定向到所提供的新的http协议url链接, 一般用于非安全链接跳转到安全链接,比如http跳转到https上
1. http-request redirect scheme <schloc> [code <code>] [<option>] [<condition>]
2. redirect scheme <sch> [code <code>] [<option>] [<condition>]

相关指令参数如下:
* <loc> :一个日志格式变量 (或简单的字符串redirect语句)描述了新位置;
* code <code>(可选):HTTP重定向的状态代码来执行。 此选项下的允许的状态码如下所示:



* <option>(可选): 可以是以下任何或组合的声明:
1. set-cookie NAME[=value] :一个Set-Cookie头部被添加到重定向。该cookie被命名为名称,可以有一个可选的值值。
2. clear-cookie NAME[=]一个特殊的Set-Cookie头被添加到重定向。该Cookie名为名称和最大年龄的cookie参数设置为0,目的是为了指示浏览器删除cookie。

注意: 在于浏览器中,这是两个不同的Cookie:NAME和NAME = 以上根据你的流量模式,必须将两个语句适应。

* if | unless :用于条件判断
* <condition> (可选):用于匹配acl,一般为acl的名称

一个简单的实例:

acl http      ssl_fc,not
http-request redirect scheme https if http
下面是redirect 综合应用的一个小示例:

acl clear      dst_port  80
acl secure     dst_port  8080
acl login_page url_beg   /login
acl logout     url_beg   /logout
acl uid_given  url_reg   /login?userid=[^&]+
acl cookie_set hdr_sub(cookie) SEEN=1

redirect prefix   https://kevin.com set-cookie SEEN=1 if !cookie_set
redirect prefix   https://kevin.com           if login_page !secure
redirect prefix   http://kevin.com drop-query if login_page !uid_given
redirect location http://kevin.com/           if !login_page secure
redirect location / clear-cookie USERID=      if logout
总结: redirect三种重定向可以混合使用,比较常用的有redirect prefix 和 redirect location这两种方式,从某种理解上可以交差使用;
3) redir重定向用法:(redir通常配置在haproxy backend部分)
使用redir 会将发往backend的站点服务请求均以302状态响应发给需要重定向的server服务或站点,此时haproxy不需要向后端web server提交请求;需要注意的是,在prefix后面不能使用/,且不能使用相对地址,以避免造成循环,例如:

frontend  main *:80
    default_backend app
backend app
    balance roundrobin
    server node1 127.0.0.1:81 check weight 3 redir http://www.kevin.com
上面配置含义:所有发往localhost:81的请求做重定向,重定向到www.kevin.com因此可以实现单台服务器的重定向

又例如,如果我们要讲访问的站点重定向到grace.com

frontend  main *:80
    default_backend  app
backend app
    balance roundrobin
    server node1 127.0.0.1:81 check weight 3 redir http://www.grace.com
注意:redir只做跳转,如客户端输入:http://ip ,将会跳转到指定的页面上,此时客户端的页面的页面也会跳转到指定的页面上,之后所有的请求都会递交到该站点(前提该站点可以与客户端通讯),而不再发往haproxy代理站点,haproxy也不需要往后端web server提交客户端发过来的请求。

二. haproxy实现error重定向

格式为: errorfile 错误代码code 错误代码响应提示页路径
* errorfile 即根据客户端页面错误code状态将指定的错误状态页面提示给客户端,比如友情提示页面,一般如下:

errorfile 403 /etc/haproxy/errorfiles/403.http
errorfile 500 /etc/haproxy/errorfiles/500.http
errorfile 502 /etc/haproxy/errorfiles/502.http
errorfile 503 /etc/haproxy/errorfiles/503.http
errorfile 504 /etc/haproxy/errorfiles/504.http
例如:如果想访问403页面重定向到其他页面的话 (errorloc),则参考以下配置:

frontend web_server
    bind *:80
    default_backend webserver
    acl badguy src 172.16.50.10
    block if badguy
    errorloc 403 http://grace.com/         #定义错误页面重定向
errorfile  表示在用户请求不存在的页面时,返回一个页面给客户端而非有haproxy生成的错误代码,可用于所有段中;
格式: errorfile <code> <file>

errorloc  表示请求错误时,返回一个HTTP重定向至某URL的信息,可以用于所有端中;
格式: errorloc <code> <url>

总结: 错误重定向可以更加友好地提示客户端错误状态,比如做定制页面化跳转,以及网站维护升级等等,当出现错误时,可以及时跳转到预定好错误提示页面上。 

三. haproxy定义规则


1) haproxy常用的acl匹配条件 -i:不区分<value>中模式字符的大小写; -f:从指定的文件中加载模式; path_beg:用于测试请求的URL是否以<string>指定的模式开头 例:匹配url以/static、/images、/javascript /stylesheets开头 acl url_static path_beg -i /static /images /javascript /stylesheets path_end:用于测试请求的URL是否以<string>指定的模式结尾 例:匹配url以jpg、gif、png、css、js结尾 acl url_static path_end -i .jpg .gif .png .css .js hdr_beg:用于测试请求报文的指定首部的开头部分是否符合<string>指定的模式 例:匹配请求的主机以img、video、download或ftp开头 acl host_static hdr_beg(host) -i img. video. download. ftp. 即匹配访问的域名是img.bobo.com,video.bobo.com,download.bobo.com,ftp.bobo.com url_beg:匹配的是整个url 例:匹配url为http://www.bobo.com.com acl is_bobo.com url_beg http://www.bobo.com.com use_backend bobo.com if is_bobo.com dst_port:判断请求的端口 hdr_sub:判断客户的user-agent 例:判断客户端的user-agent是否为手机 acl shouji hdr_sub(user-agent) -i android iphone
2) haproxy定义分发规则

根据请求的主机头,实现不同项目的请求,分发到不同的backend

hdr_beg(host):判断主机头

例如:
acl is_www hdr_beg(host) -i www.bobo.com.com
acl is_wap hdr_beg(host) -i wap.bobo.com.com
acl is_erp hdr_beg(host) -i erp.bobo.com.com
acl is_interface hdr_beg(host) -i interface.bobo.com.com
use_backend tomcat_erp_v2 if is_erp
use_backend tomcat_interface_v2 if is_interface
use_backend tomcat_web_v2 if is_www
use_backend tomcat_mobile_v2 if is_wap

通过定义以上规则即可实现访问不同的域名分发到不同的backend
3) haproxy定义重定向规则

prefix:表示重定向url
location:表示重定向访问路径,即url不变,url后边跟的路径发生改变

例如:
redirect prefix http://weihu.bobo.com.com/PC if is_www
redirect prefix http://weihu.bobo.com.com/H5 if is_wap

说明:
当访问is_www时,重定向到weihu.bobo.com.com/PC
当访问is_wap时,重定向到weihu.bobo.com.com/H5
4) haproxy定义放行规则

仅放行通过验证的IP地址或者IP范围段;

例如:
如果访问的是is_www,但来源IP不是指定的IP时,用http-request deny进行拒绝;

acl is_www hdr_beg(host) -i www.bobo.com.com
acl is_dns src 172.16.60.0/24 218.65.212.0/24
http-request deny if is_www  !is_dns(满足条件的直接进行拒绝)  

也可以写为:
acl is_www hdr_beg(host) -i www.bobo.com.com
acl is_dns src 172.16.60.0/24 218.65.212.0/24
user_backend www if is_www  is_dns(两个条件同时满足才使用后端的www)

说明:
源地址有多个时,用空格进行隔开
5) haproxy定义手机只能访问手机端,电脑端只能访问电脑端规则

例如:
当手机访问www.bobo.com时转发到wap.bobo.com
当电脑访问wap.bobo.com时转发到www.bobo.com

配置如下:
acl is_shouji hdr_sub(user-agent) -i android iphone
acl is_diannao hdr_beg(host) www
redirect prefix http://wap.bobo.com if shouji
redirect prefix http://www.bobo.com if is_diannao !is_shouji
Haproxy 重定向跳转 - 示例 1

(1) 首先每个域名解析到自己的ip
www.kevin.com   172.16.51.100
www.grace.com   172.16.51.200
www.bobo.com    172.16.51.210

(2) 域名重定向
acl name_redirectA hdr_beg(host) -i www.kevin.com
redirect prefix http://www.bobo.com/A if name_redirectA

acl name_redirectB hdr_beg(host) -i  www.grace.com
redirect prefix http://www.bobo.com/B if name_redirectB

(3) 跳转规则
acl name_A hdr_beg(host) -i www.kevin.com
acl name_B hdr_beg(host) -i www.grace.com
acl name_C hdr_beg(host) -i www.bobo.com
acl api_reqA path_beg -i /A/api
acl api_reqB path_beg -i /B/api
use_backend appserver_8081 if name_A or name_B      #匹配"或"的规则
use_backend appserver_8082_A if name_C api_reqA     #匹配"和"的规则
use_backend appserver_8082_B if name_C api_reqB      

backend appserver_8081
   balance source
   server web1 172.16.51.171:8081 maxconn 1024 weight 3 check inter 2000 rise 2 fall 3
   server web2 172.16.51.174:8081 maxconn 1024 weight 3 check inter 2000 rise 2 fall 3

backend appserver_8082_A
   server web1 172.16.51.180:80 weight 3 check inter 2000 rise 2 fall 3

backend appserver_8082_B
   server web1 172.16.51.180:80 maxconn 1024 weight 3 check inter 2000 rise 2 fall 3
Haproxy 重定向跳转 - 示例 2

redirect location <to> [code <code>] <option> [{if | unless} <condition>]
redirect prefix <to> [code <code>] <option> [{if | unless} <condition>] 重定向,相当于rewrite

示例配置如下:
acl shibo hdr_reg(host) -i ^(shibo.kevin.com|forum.kevin.com)       #使用正则匹配
acl shibo_path path_beg -i /shibo                #url 目录
acl youxi path_beg -i /youxi              
acl static path_end -i .html .css .js      #url 结尾文件
acl php path_end -i .php 
acl jsp path_end -i .jsp .do 

use_backend shibo_pool if shibo or shibo_path       #注意"或"的匹配用"or"
use_backend youxi_pool if youxi
use_backend static_pool if static 
use_backend php_pool if php
use_backend jsp_pool if jsp
default_backend www.kevin.com                

#当满足host_bb.cn的策略,跳转(重定向)到http://www.bb.cn
acl host_bb.cn hdr_beg(host) -i (bb.cn|beijing.com)
redirect prefix http://www.bb.cn if host_bb.cn

#有个问题: haproxy能否在接到一个请求时选择一个后端服务器,然后301重定向url 。
#主要原因是他有5个1G的出口,这样就能充分利用其带宽。
#测试了一下是可以的
frontend free
   bind *:80
   default_backend lvs2
backend lvs2
   mode http
   option forwardfor header ORIG_CLIENT_IP
   server free174 172.16.51.16:8081 redir http://free71-174-grace.com:8081 weight 10 rise 3 fall 5 check inter 2000
   server free173 172.16.51.15:8081 redir http://free71-173-grace.com:8081 weight 10 rise 3 fall 5 check inter 2000

#当输入负载均衡机器的域名后,url会直接变成http://free71-17(3|4)-grace.com:8081.

acl monitor hdr_beg(host) -i monitor.kevin.com        #定义ACL名称(monitor),对应的请求的主机头是monitor.kevin.com 
acl shibo hdr_reg(host) -i ^(shibo.kevin.com|forum.kevin.com)  #使用正则匹配
acl host_bb.cn hdr_beg(host) -i bb.cn
acl host_hui.cn hdr_beg(host) -i beijing.com
redirect prefix http://www.bb.cn if host_bb.cn
redirect prefix http://www.bb.cn if host_hui.cn

frontend localhost
    bind *:80
    bind *:443 ssl crt /etc/ssl/bb.web/bb.web.pem
    redirect scheme https if !{ ssl_fc }
    mode http
    default_backend nodes

# 上面配置中, 添加了redirect导向,如果连接不是通过SSL连接的,它将http重定向到https

acl host_bb.cn hdr_beg(host) -i bb.cn
acl host_jiu.cn hdr_beg(host) -i beijing.com
acl www_jiu.cn hdr_beg(host) -i www.beijing.com
acl host_hui.cn hdr_beg(host) -i pp.com
acl www_hui.cn hdr_beg(host) -i www.pp.com
redirect prefix http://www.bb.cn if host_bb.cn
redirect prefix http://www.bb.cn if host_jiu.cn
redirect prefix http://www.bb.cn if www_jiu.cn
redirect prefix http://www.bb.cn if host_hui.cn
redirect prefix http://www.bb.cn if www_hui.cn

访问bb.cn,beijing.com,www.beijing.com,pp.com,www.pp.cpm 都跳转到http://www.bb.cn
Haproxy 重定向跳转 - 示例 3 (手机规则匹配)
一.  线上业务的实际需求
现在根据业务的实际需要,有以下几种不同的需求。如下:

a) 转发所有手机请求
所有通过手机端访问http.shibo.com域名的话,全部转发到http://www.shibo.com这个地址,而PC端不受此限制。

b) 根据url进行转发
如果手机端请求http.shibo.com这个域名的url中,以docs或者manager这两个关键词开头的话,把该请求转发到后端的服务器,而PC端不受此限制。

也就是说手机端访问具体的url地址的话,可以正常访问。如果是直接访问http.shibo.com域名的话,直接把该请求转发到http://www.shibo.com这个地址。

============================================================
二.  haproxy配置
下面根据不同的业务需求进行配置haproxy,如下。
a) 转发所有手机请求配置
要把所有的手机端请求转到www.shibo.com这个地址,需要我们首先把访问的终端匹配出来,haproxy可以通过hdr_sub(user-agent)这个参数把手机端匹配出来。

手机端匹配出来后,我们就可以定义相应的规则,把手机端的请求转发到www.shibo.com这个地址了。haproxy.cf配置文件如下:
[root@localhost ~]# vim /usr/local/haproxy/conf/haproxy.cfg
global
   log 127.0.0.1 local0
   log 127.0.0.1 local1 notice
   maxconn 4096
   uid 188
   gid 188
   daemon
   tune.ssl.default-dh-param 2048

defaults
   log global
   mode http
   option httplog
   option dontlognull
   option http-server-close
   option forwardfor except 127.0.0.1
   option redispatch
   retries 3
   option redispatch
   maxconn 2000
   timeout http-request 10s
   timeout queue 1m
   timeout connect 10s
   timeout client 1m
   timeout server 1m
   timeout http-keep-alive 10s
   timeout check 10s
   maxconn 3000

listen admin_stats
   bind 0.0.0.0:1080
   mode http
   option httplog
   maxconn 10
   stats refresh 30s
   stats uri /stats
   stats auth admin:admin
   stats hide-version

frontend weblb
   bind *:80
   acl is_http hdr_beg(host) http.shibo.com
   acl ua hdr_sub(user-agent) -i android iphone
   redirect prefix http://www.shibo.com if ua
   use_backend httpserver if is_http

backend httpserver
    balance source
    server web1 127.0.0.1:8080 maxconn 1024 weight 3 check inter 2000 rise 2 fall 3

温馨提示:
在以上配置文件中,有以下两行需要注意:
acl ua hdr_sub(user-agent) -i android iphone
redirect prefix http://www.shibo.com if ua

这两行:
第一行是第一个ua规则,该规则是判断是否是手机端。
注意:在此手机端,我们只匹配了安卓手机和iphone。
第二行是跳转规则,如果匹配是手机端的话,那么直接跳转到http://www.shibo.com这个地址。


如果是PC端的话,默认跳转到httpserver这个后端服务器组。
以上配置是一台服务器对外只提供一个域名访问的请求,如果有两个域名的话,就要进行如下配置:
[root@localhost ~]# vim /usr/local/haproxy/conf/haproxy.cfg
global
   log 127.0.0.1 local0
   log 127.0.0.1 local1 notice
   maxconn 4096
   uid 188
   gid 188
   daemon
   tune.ssl.default-dh-param 2048

defaults
   log global
   mode http
   option httplog
   option dontlognull
   option http-server-close
   option forwardfor except 127.0.0.1
   option redispatch
   retries 3
   option redispatch
   maxconn 2000
   timeout http-request 10s
   timeout queue 1m
   timeout connect 10s
   timeout client 1m
   timeout server 1m
   timeout http-keep-alive 10s
   timeout check 10s
   maxconn 3000

listen admin_stats
   bind 0.0.0.0:1080
   mode http
   option httplog
   maxconn 10
   stats refresh 30s
   stats uri /stats
   stats auth admin:admin
   stats hide-version

frontend weblb
   bind *:80
   acl is_http hdr_beg(host) http.shibo.com
   acl is_haproxy hdr_beg(host) haproxy.shibo.com
   acl ua hdr_sub(user-agent) -i android iphone
   redirect prefix http://www.shibo.com if ua !is_haproxy
   use_backend haproxyserver if ua is_haproxy
   use_backend haproxyserver if is_haproxy
   use_backend httpserver if is_http

backend httpserver
   balance source
   server web1 127.0.0.1:8080 maxconn 1024 weight 3 check inter 2000 rise 2 fall 3

backend haproxyserver
   balance source
   server web1 127.0.0.1:7070 maxconn 1024 weight 3 check inter 2000 rise 2 fall 3

b) 测试转发所有手机请求 在手机浏览器中输入http.shibo.com会自动跳转到http://www.shibo.com这个地址。
c) 根据url进行转发配置
根据手机端请求的url进行转发的话,首先也是需要匹配出手机端,然后定义url路径规则。最后结合手机端和url路径规则,进行跳转。
haproxy具体配置文件,如下:
[root@localhost ~]# vim /usr/local/haproxy/conf/haproxy.cfg
global
   log 127.0.0.1 local0
   log 127.0.0.1 local1 notice
   maxconn 4096
   uid 188
   gid 188
   daemon
   tune.ssl.default-dh-param 2048

defaults
   log global
   mode http
   option httplog
   option dontlognull
   option http-server-close
   option forwardfor except 127.0.0.1
   option redispatch
   retries 3
   option redispatch
   maxconn 2000
   timeout http-request 10s
   timeout queue 1m
   timeout connect 10s
   timeout client 1m
   timeout server 1m
   timeout http-keep-alive 10s
   timeout check 10s
   maxconn 3000

listen admin_stats
   bind 0.0.0.0:1080
   mode http
   option httplog
   maxconn 10
   stats refresh 30s
   stats uri /stats
   stats auth admin:admin
   stats hide-version

frontend weblb
   bind *:80
   acl is_http hdr_beg(host) http.shibo.com
   acl is_docs url_beg /docs /manager
   acl ua hdr_sub(user-agent) -i android iphone
   redirect prefix http://www.shibo.com if ua !is_docs
   use_backend httpserver if ua is_docs
   use_backend httpserver if is_http

backend httpserver
   balance source
   server web1 127.0.0.1:8080 maxconn 1024 weight 3 check inter 2000 rise 2 fall 3

温馨提示:
在上述配置文件中,需要以下几行解释下:

acl is_docs url_beg /docs /manager
定义一个is_docs规则。如果url以/docs或者/manager开头的,则全部属于该规则。

acl ua hdr_sub(user-agent) -i android iphone
redirect prefix http://www.shibo.com if ua !is_docs
这两行首先是匹配出手机端,然后如果是手机端访问,并且访问的不是is_docs规则的话,则直接跳转到http://www.shibo.com这个地址。

use_backend httpserver if ua is_docs
这条命令是,如果是手机端访问,并且访问的是is_docs规则的话,则直接跳转到httpserver这个后端服务器组。

如果是PC端的话,默认跳转到httpserver这个后端服务器组。
d) 测试根据url进行转发
手机端访问http://http.shibo.com/docs/这个连接的话,是可以直接访问的。

三.  其他haproxy相关配置
上面说明了有关手机的相关配置,在实际的生产环境中,有时候还会碰到一些奇奇怪怪的要求。
比如要求所有手机端访问的http.shibo.com,转到指定的页面。haproxy主要配置文件如下:
[root@localhost ~]# vim /usr/local/haproxy/conf/haproxy.cfg
.............
.............

frontend weblb
   bind *:80
   acl is_http hdr_beg(host) http.shibo.com
   acl ua hdr_sub(user-agent) -i android iphone
   redirect prefix http://www.shibo.com/?p=10624 if ua
   use_backend httpserver if is_http

backend httpserver
   balance source
   server web1 127.0.0.1:8080 maxconn 1024 weight 3 check inter 2000 rise 2 fall 3

以上配置是所有手机端访问的,都跳转到http://www.shibo.com/?p=10624这个页面。
haproxy重定向跳转 - 示例4 (修改路径, 即重写URL)
1) 访问https://www.shibo.com/guo-hui 重定向跳转到 https://www.xiaobo.com/an-hui
frontend https
    option http-server-close
    reqadd X-Forwarded-Proto:\ https

    acl shi_bo hdr(host) -i www.shibo.com
    acl guo_hui path_beg /guo-hui
    acl an_hui path_beg /an-hui

    reqirep ^([^\ ]*\ /)guo-hui(.*) \1an-hui\2 if shi_bo guo_hui              #注意中间的空格, 以及\1 和 \2;
    redirect prefix https://www.xiaobo.com code 301 if shi_bo an_hui
2) 访问http://front-end/app-2/do-that 重定向跳转到 http://back-end/app-2-another-path/do-that
frontend http  
   acl do-that path_end -i /app-2/do-that
   use_backend server1 if do-that

backend server1
   reqirep ^([^\ :]*)\ /app-2/(.*)  \1\ /app-2-another-path/\2
   server server 172.16.60.51
3) 访问原请求为 http://www.kevin.com/OLD/ab...
    重定向到 http://www.kevin.com/NEW/ab...

在nginx里可以通过rewrite来实现跳转配置, 配置内容如下:
server {
    listen 80;
    server_name www.kevin.com;
    location / {
        rewrite ^/OLD(.*) /NEW$1 permanent;
        proxy_pass http://backend_www_kevin_com;
    }
}

在haproxy里重定向跳转的配置如下:
frontend web80
    bind *:80

    acl domain_www_kevin_com hdr_beg(host) -i www.kevin.com kevin.com
    acl url_old  url_beg   -i /old

    reqirep ^([^\ ]*)\ /old(.*) \1\ /new\2  if domain_www_kevin_com url_old
    use_backend kevin_com   if domain_www_kevin_com

最后总结:
通过以上haproxy和nginx的重写配置, 可以看出二者配置的不同在于:
-  http://www.kevin.com/old,后端真实服务器收到的请求被重写为 /new/ ,并且浏览器收到 HTTP/1.1 302 Location: /new/ ,
   地址栏改为 http://www.kevin.com/new/
-  http://www.kevin.com/old/,或者 http://www.kevin.com/old/ab... 后端真实服务器收到的请求被重写为 /new/ ,
   浏览器并没有收到 302 , 地址栏依旧为 http://www.kevin.com/old/
4) haproxy URL 重新 , 如下两个规范配置
reqirep ^([^\ ]*)\ /books/(.*) \1\ /books.php?title=\2
reqirep ^([^\ ]*)\ /(.*)  \1\ /wdn/\2

# 注意中间的空格, 以及\1 和 \2
5) reqirep可以修改http的头; 如果haproxy 配置里要替换主机头, 则:
   在backend 选项下面加入:
   reqirep ^Host:\ (.*) Host:\ 标识
haproxy重定向跳转 - 示例5 (错误/黑白名单/动静分离/读写(上传和下载)分离的重定向 )

(1) haproxy 错误重定向(403), 即黑名单设置

[root@localhost ~]# vim /usr/local/haproxy/conf/haproxy.cfg
.............
.............

acl blacklist src 172.16.51.250
http-request deny if blacklist

如上配置后, 当来源ip是172.16.51.250时, 就直接返回一个403错误页面!!

=============================================================
当haproxy配置里限制一个来源ip访问时, 直接给用户返回403错误页面, 会显得不太友好, 所以haproxy重定向应运而生.
如下配置, 当来源ip是172.16.51.250时, 直接重定向跳转到172.16.51.10的8000端口的错误页面

[root@localhost ~]# vim /usr/local/haproxy/conf/haproxy.cfg
.............
.............

acl badhost src 172.16.51.250
block if badhost
errorloc 403 http://172.16.51.10:8000

在172.16.51.10机器上部署nginx, 端口为8000, 然后在nginx根目录的index.html里设置错误页面信息,
错误页面信息可以自己随便定义, 比如"抱歉, 页面临时出错, 运维工程师正在抢修中, 请耐心等待~"

(2) haproxy 黑名单重定向
[root@localhost ~]# vim /usr/local/haproxy/conf/haproxy.cfg
.............
.............

acl  badhost src 172.16.51.250
redirect location http://172.16.51.10:8000 if  badhost

在172.16.51.10机器上部署nginx, 端口为8000, 然后在nginx根目录的index.html里设置错误页面信息,
错误页面信息可以自己随便定义, 比如"抱歉, 这是一个禁止访问的来源ip地址!请尝试从其他机器访问."

(3) haproxy 网页重定向
[root@localhost ~]# vim /usr/local/haproxy/conf/haproxy.cfg
.............
.............

acl shibo.com hdr_beg(host) -i shibo.com
redirect code 301 location http://www.shibo.com if shibo.com

温馨提示:
如果不写301,只写code默认是302,临时重定向 (不推荐), 加上301则表示永久重定向

(4) haproxy 访问IP自动跳转到域名
[root@localhost ~]# vim /usr/local/haproxy/conf/haproxy.cfg
.............
.............

acl 172.16.51.10 hdr(host) -i 172.16.51.10
redirect code 301 location http://www.shibo.com if 172.16.51.10

(5) haproxy 读写分离 配置 (即上传和下载分离)
[root@localhost ~]# vim /usr/local/haproxy/conf/haproxy.cfg
.............
.............

acl read method GET
acl read method HEAD
acl write method PUT
acl write method POST
use_backend dynamic if write
default_backend static

backend static                               #"上传"读取操作的负载代理.
    balance   roundrobin
    server    web1 172.16.51.30:80 check          

backend  dynamic                         #"下载"写入操作的负载代理
    balance   roundrobin
    server    web2 172.16.51.40:80 check          

(6) haproxy 动静分离 配置
[root@localhost ~]# vim /usr/local/haproxy/conf/haproxy.cfg
.............
.............

frontend public
      bind            *:80 name clear
      #bind         172.16.51.10:443 ssl crt /etc/haproxy/haproxy.pem
      #use_backend    static if { hdr_beg(host) -i img }
      #use_backend    static if { path_beg /img /css   }
      use_backend    static2 if { path_end -i .php   }
      default_backend static1

# The static backend backend for 'Host: img', /img and /css.
backend static1
      balance     roundrobin
      server        statsrv1 172.16.51.20:80 check inter 1000

backend static2
      balance     roundrobin
      server       statsrv2 172.16.51.30:80 check inter 1000

(7) haproxy的白名单设置
[root@localhost ~]# vim /usr/local/haproxy/conf/haproxy.cfg
.............
.............
frontend tcp-8080-front
     bind *:8080
     mode tcp
     default_backend     tcp-8080-back

tcp-8080-back
     mode tcp
     balance leastconn
     tcp-request content accept if { src -f /usr/local/haproxy/white_ip_list }
     tcp-request content reject
     server tcp-8080 10.1.27.20:8080

配置中/usr/local/haproxy/white_ip_list文件即为白名单文件, 在文件里配置允许的白名单地址: 一行一个IP或者IP段。
haproxy 重定向跳转 - 示例6

[root@localhost ~]# vim /usr/local/haproxy/conf/haproxy.cfg
.............
.............
acl  admin_req  path_beg  -i  /admin
use_backend  admin_80  if  admin_req

backend admin_80
      mode   http
      balance   roundrobin
      server   apphost01_8083  172.16.50.133:80  check inter 2000 fall 3


接着去172.16.50.133服务器上看下tomcat配置
[root@tomcat-133 ~]# vim /usr/local/tomcat/conf/server.xml
.............
     <Context docBase="/data02/kevin-web" path="/" reloadable="false"/>

[root@tomcat-133 ~]# cd /data02/kevin-web
[root@tomcat-133 kevin-web]# ls
admin  adminwechat  index.html  jquery.2.1.4.min.js  META-INF  WEB-INF  kevin-web-0.0.1-SNAPSHOT.war
[root@tomcat-133 kevin-web]# ls
bobo.html

最后, 可验证:
访问http://www.kevin.com/admin/bobo.html  实际上返回的是172.16.50.133服务器的/data02/kevin-web/admin/bobo.html页面内容
haproxy 重定向跳转 - 示例7 (haproxy 代理 https)
haproxy代理https有两种方式:
1)haproxy服务器本身提供ssl证书,后面的web服务器走正常的http
2)haproxy服务器本身只提供代理,后面的web服务器走https(配置ssl证书)
第一种方式:haproxy服务器本身提供ssl证书

注意: 需要编译haproxy的时候支持ssl
编译参数:
[root@localhost ~]# make TARGET=linux26 USE_OPENSSL=1 ADDLIB=-lz
[root@localhost ~]# ldd haproxy | grep ssl
libssl.so.10 => /usr/lib64/libssl.so.10 (0x00007fb0485e5000)

[root@localhost ~]# vim /usr/local/haproxy/conf/haproxy.cfg
.............
.............
frontend https_frontend
    bind *:443 ssl crt /etc/ssl/certs/servername.pem
    mode http
    option httpclose
    option forwardfor
    reqadd X-Forwarded-Proto:\ https
    default_backend web_server

backend web_server
    mode http
    balance roundrobin
    cookie SERVERID insert indirect nocache
    server s1 172.16.50.150:80 check cookie s1
    server s2 172.16.50.151:80 check cookie s2


温馨提示:  这里的pem 文件是下面两个文件合并而成
[root@localhost ~]# cat servername.crt servername.key |tee servername.pem


=====================================================
第二种方式:haproxy服务器本身只提供代理,没有ssl证书 (一般我们常用的就是这种方式)

这种方式,haproxy不需要重新编译支持ssl,简单方便,只需要后面的web服务器配置好ssl即可。

[root@localhost ~]# vim /usr/local/haproxy/conf/haproxy.cfg
.............
.............
frontend https_frontend
    bind *:443
    mode tcp
    default_backend web_server

backend web_server
    mode tcp
    balance roundrobin
    stick-table type ip size 200k expire 30m
    stick on src
    server s1 172.16.50.150:443
    server s2 172.16.50.151:443

温馨提示:  这种模式下mode 必须是tcp模式!!!!!!!!
haproxy重定向跳转 - 示例8 (http, https的有关重定向, 案例分析)

需要提前说明下:
下面配置操作全部是在haproxy1.5.4版本下进行配置和通过测试的!
haproxy1.3版本以下haproxy配置参数可能不能使用,所以需要注意haproxy的版本号
以下的haproxy配置可以在线上生产环境直接使用的!
一、业务要求
根据系统业务的实际需要,有以下几种不同的需求:

1.1) http跳转https
把所有请求http://http.kevin.com的地址全部跳转为https://http.kevin.com这个地址。

1.2) http与https并存
服务器同时开放http://http.kevin.com和https://http.kevin.com的访问形式。

1.3) 同台服务器不同域名之间的https与http
同一台服务器对http.kevin.com域名访问的全部跳转为https://http.kevin.com,而对haproxy.kevin.com访问走http协议,
也就是跳转到http://haproxy.kevin.com这个地址。

1.4) 同台服务器多域名均使用https
同一台服务器对http.kevin.com和haproxy.kevin.com访问走http是协议。
 ```

 ```txt
二、配置haproxy, 实现以上业务需求

2.1) http跳转https的haproxy配置文件内容
说实话haproxy的https配置要比nginx配置简单的多了,只需要加入几行代码即可实现https的功能。
[root@localhost ~]# vim /usr/local/haproxy/conf/haproxy.cfg
global
   log 127.0.0.1 local0
   log 127.0.0.1 local1 notice
   maxconn 4096
   uid 188
   gid 188
   daemon
   tune.ssl.default-dh-param 2048

defaults
   log global
   mode http
   option httplog
   option dontlognull
   option http-server-close
   option forwardfor except 127.0.0.1
   option redispatch
   retries 3
   option redispatch
   maxconn 2000
   timeout http-request 10s
   timeout queue 1m
   timeout connect 10s
   timeout client 1m
   timeout server 1m
   timeout http-keep-alive 10s
   timeout check 10s
   maxconn 3000

listen admin_stats
   bind 0.0.0.0:1080
   mode http
   option httplog
   maxconn 10
   stats refresh 30s
   stats uri /stats
   stats auth admin:admin
   stats hide-version

frontend weblb
   bind *:80
   acl is_http hdr_beg(host) http.kevin.com
   redirect scheme https if !{ ssl_fc }
   bind *:443 ssl crt /etc/haproxy/kevin.com.pem
   use_backend httpserver if is_http

backend httpserver
   balance source
   server web1 127.0.0.1:7070 maxconn 1024 weight 3 check inter 2000 rise 2 fall 3

温馨提示:
在以上配置文件中,只要需要注意下面四个选项的配置:
tune.ssl.default-dh-param 2048                #因为我们的SSL密钥使用的是2048bit加密,所以在此进行声明。

acl is_http hdr_beg(host) http.kevin.com
redirect scheme https if !{ ssl_fc }
bind *:443 ssl crt /etc/haproxy/kevin.com.pem
# 这三行表示把所有访问http.kevin.com这个域名的请求,全部转发到https://http.kevin.com这个连接。

测试:
发现在浏览器中,无论输入的是http.kevin.com, 还是http://http.kevin.com, 亦或是https://http.kevin.com,都会自动跳转到https://http.kevin.com。
这样就达到了,把所有的http请求跳转到https的目的。
2.2) http与https并存配置
haproxy要实现http和https并存的话,配置也很简单,只需要把haproxy分别监控不同的端口就行,配置文件如下:
[root@localhost ~]# vim /usr/local/haproxy/conf/haproxy.cfg
global
   log 127.0.0.1 local0
   log 127.0.0.1 local1 notice
   maxconn 4096
   user haproxy
   group haproxy
   daemon
   tune.ssl.default-dh-param 2048

defaults
   log global
   mode http
   option httplog
   option dontlognull
   retries 3
   option redispatch
   maxconn 2000
   timeout connect 5000ms
   timeout client 50000ms
   timeout server 50000ms

listen admin_stats
   bind 0.0.0.0:1080
   mode http
   option httplog
   maxconn 10
   stats refresh 30s
   stats uri /stats
   stats auth admin:admin
   stats hide-version

frontend weblb
   bind *:80
   acl is_http hdr_beg(host) http.kevin.com
   use_backend httpserver if is_http

backend httpserver
   balance source
   server web1 127.0.0.1:7070 maxconn 1024 weight 3 check inter 2000 rise 2 fall 3

frontend weblb443
   bind *:443 ssl crt /etc/haproxy/kevin.com.pem
   acl is_443 hdr_beg(host) http.kevin.com
   use_backend httpserver443 if is_443

backend httpserver443
   balance source
   server web1 127.0.0.1:7070 maxconn 1024 weight 3 check inter 2000 rise 2 fall 3

温馨提示:
在以上配置文件中,定义了两个前端,一个前端用于监听80端口,也就是http协议。另外一个前端监听443端口,也就是https协议。
此时haproxy会根据客户端请求的协议进行分发,如果发现客户端请求的是http协议,则把该请求分发到监听80端口的前端。
如果发现客户端请求的是https协议,则把该请求分发到监听443端口的前端。如此就达到了haproxy让http和https并存的要求。

测试:
通过测试会发现,在浏览器中如果输入的是http://http.kevin.com或者是http.kevin.com都会直接跳转到http://http.kevin.com,
而输入的是https://http.kevin.com,则只会跳转到https://http.kevin.com。
如此就到达了,我们业务的要求实现http和https并存。
2.3) 同台服务器不同域名之间的https与http配置
同台服务器不同域名之间的http和https配置比较复杂,第一需要监听两个端口,第二还要根据不同的域名进行分发。
[root@localhost ~]# vim /usr/local/haproxy/conf/haproxy.cfg
global
   log 127.0.0.1 local0
   log 127.0.0.1 local1 notice
   maxconn 4096
   uid 188
   gid 188
   daemon
   tune.ssl.default-dh-param 2048

defaults
   log global
   mode http
   option httplog
   option dontlognull
   option http-server-close
   option forwardfor except 127.0.0.1
   option redispatch
   retries 3
   option redispatch
   maxconn 2000
   timeout http-request 10s
   timeout queue 1m
   timeout connect 10s
   timeout client 1m
   timeout server 1m
   timeout http-keep-alive 10s
   timeout check 10s
   maxconn 3000

listen admin_stats
   bind 0.0.0.0:1080
   mode http
   option httplog
   maxconn 10
   stats refresh 30s
   stats uri /stats
   stats auth admin:admin
   stats hide-version

frontend weblb
   bind *:80
   acl is_haproxy hdr_beg(host) haproxy.kevin.com
   acl is_http hdr_beg(host) http.kevin.com
   redirect prefix https://http.kevin.com if is_http
   use_backend haproxyserver if is_haproxy

backend haproxyserver
   balance source
   server web1 127.0.0.1:9090 maxconn 1024 weight 3 check inter 2000 rise 2 fall 3

frontend weblb443
   bind *:443 ssl crt /etc/haproxy/kevin.com.pem
   acl is_443 hdr_beg(host) http.kevin.com
   use_backend httpserver443 if is_443

backend httpserver443
   balance source
   server web1 127.0.0.1:7070 maxconn 1024 weight 3 check inter 2000 rise 2 fall 3

温馨提示:
同台服务器不同域名之间的https与http配置,上面配置了两个前端一个用于监听80端口,并且根据不同的域名进行跳转。
在80端口的规则中,如果客户端请求的是http.kevin.com,这个域名的话,则haproxy会把该请求直接跳转到https://http.kevin.com。
如果是haproxy.kevin.com,这个域名的话,则分发到后端的服务器。
另外一个前端用于监听443端口,用于分发客户端https://http.kevin.com的请求。

测试:
可以发现在浏览器中输入haproxy.kevin.com会跳转到http://haproxy.kevin.com这个地址,
而如果输入的是http.kevin.com或者是http://http.kevin.com,亦或是https://http.kevin.com的话,都会跳转到https://http.kevin.com。
如此就达到了上面的业务要求,同台服务器上访问haproxy.kevin.com直接跳转到80端口,如果访问的是http.kevin.com域名的话则跳转
到https://http.kevin.com这个地址。
2.4) 同台服务器多域名均使用https配置
要使同台服务器的两个设置多个域名都使用https协议的话,配置很简单。只需要在haproxy中启用各自的https配置即可。
[root@localhost ~]# vim /usr/local/haproxy/conf/haproxy.cfg
global
   log 127.0.0.1 local0
   log 127.0.0.1 local1 notice
   maxconn 4096
   uid 108
   gid 116
   daemon
   tune.ssl.default-dh-param 2048

defaults
   log global
   mode http
   option httplog
   option dontlognull
   option http-server-close
   option forwardfor except 127.0.0.1
   option redispatch
   retries 3
   option redispatch
   timeout http-request 10s
   timeout queue 1m
   timeout connect 10s
   timeout client 1m
   timeout server 1m
   timeout http-keep-alive 10s
   timeout check 10s
   maxconn 3000

listen admin_stats
   bind 0.0.0.0:1080
   mode http
   option httplog
   maxconn 10
   stats refresh 30s
   stats uri /stats
   stats auth admin:admin
   stats hide-version

frontend web80
   bind *:80
   acl is_http hdr_beg(host) http.kevin.com
   redirect scheme https if !{ ssl_fc }

   bind *:443 ssl crt /etc/haproxy/kevin.com.pem
   acl is_haproxy hdr_beg(host) haproxy.kevin.com
   redirect scheme https if !{ ssl_fc }

   bind *:443 ssl crt /etc/haproxy/kevin.com.pem
   use_backend httpserver if is_http
   use_backend haproxyserver if is_haproxy

backend httpserver
   balance source
   server web1 127.0.0.1:6060 maxconn 1024 weight 3 check inter 2000 rise 2 fall 3

backend haproxyserver
   balance source
   server web1 127.0.0.1:9090 maxconn 1024 weight 3 check inter 2000 rise 2 fall 3
测试:
在浏览中无论是输入http.kevin.com、http://http.kevin.com,还是haproxy.kevin.com、http://haproxy.kevin.com,都会跳转到相应的https地址。
这也达到了业务的要求

来源博客园 https://www.cnblogs.com/kevingrace/p/10182538.html

留下评论