HAProxy常用配置介绍，ACL详解

Examples :
server first  10.1.1.1:1080 id 3 cookie first  check inter 1000 maxconn 10000 maxqueue 2000
server second 10.1.1.2:1080 id 4 cookie second check inter 1000

option httpchk
option httpchk <uri>
option httpchk <method> <uri>
option httpchk <method> <uri> <version>    

基于http协议作7层健康状态检测机制，默认是基于tcp层进行检测；
TCP 模式也可以使用该检测机制
< method > < uri > < version >：请求报文的超始行；
method 默认方法为 OPTIONS；返回状态码2XX，3XX意味成功；

Examples :
# Relay HTTPS traffic to Apache instance and check service availability
# using HTTP request "OPTIONS * HTTP/1.1" on port 80.
backend http_relay
    mode tcp
    option httpchk OPTIONS /index.html HTTP/1.1
Host: www
    server apache1 192.168.1.1:443 check port 80

http-check expect [!] <match> <pattern>

定义检测有效期望值；
! 表示认定的错误值；< match > 可取值为：

Examples :
# only accept status 200 as valid
http-check expect status 200

# consider SQL errors as errors
http-check expect ! string SQL Error

# consider status 5xx only as errors
http-check expect ! rstatus ^5

# check that we have a correct hexadecimal tag before /html
http-check expect rstring <!--tag:[0-9a-f]*</html>

cookie <name> [ rewrite | insert | prefix ] [ indirect ] [ nocache ] [ postonly ] [ preserve ] [ httponly ] [ secure ] [ domain <domain> ]* [ maxidle <idle> ] [ maxlife <life> ]

启用基于cookie的会话黏性，要结合server指定的cookie参数一起实现;
常用形式：cookie WEBSRV insert nocache indirect

Example:
backend websrvs
balance     roundrobin
cookie WEBSRV insert nocache indirect
server      web1 10.1.0.68:80 check weight 2 maxconn 5000 cookie web1
server      web2 10.1.0.69:80 check weight 1 maxconn 3000 cookie web2

default_backend <backend>

当use_backend 的使用规则没有被匹配时，由default_backend 指定默认服务器组；
关于use_backend 使用后续会在acl 章节中讲解；

3.2.2 log 相关

为frontend或backend定义日志记录机制；

log global  ：使用全局定义的日志记录方式
log <address> [len <length>] <facility> [<level> [<minlevel>]]:自定义
no log :不记录
capture request header <name> len <length>
-->记录请求报文中的指定的首部的值于日志中；len用于指定要记录的信息的长度；
capture response header <name> len <length>
-->记录响应报文中的指定的首部的值于日志中；len用于指定要记录的信息的长度；
示例：
    capture request header Referer len 30

3.2.3 自定义错误页面

- errorfile <code> <file>

< code > 指定HTTP返回的状态码。200, 400, 403, 408, 500, 502, 503, and 504 可使用；
< file > 指定一个文件代替HTTP响应；
Example：errorfile 503 /etc/haproxy/errorfiles/503sorry.http

- errorloc <code> <url>
- errorloc302 <code> <url>

发生错误时由haproxy重定向至指定url，以上两个命令等同，响应状态码为302
Example：errorloc 503 http://www.mydomain.com/index…

- errorloc303 <code> <url>

响应状态码为303，表示以GET方法重新请求页面

3.2.4 修改请求或响应报文首部

option forwardfor [ except <network> ] [ header <name> ] [ if-none ]

HAProxy把请求报文发往后端主机之前在请求报文添加“X-Forwared-For”首部
目的为使后端服务器可记录发出请求客户端的IP地址
[ except < network> ] ：选择排除的网络地址
[ header < name> ] ：不使用X-Forwared-For，自定义名称
[ if-none ]：有时请求原来带有该字段，此时不再更改
Example：option forwardfor if-none

reqadd  <string> [{if | unless} <cond>]
rspadd <string> [{if | unless} <cond>]

在HTTP请求或响应首部内容尾部添加值
Example：rspadd X-Via: HAProxy/1.5

reqdel  <search> [{if | unless} <cond>]
reqidel <search> [{if | unless} <cond>]  (不区分大小写)        

删除HTTP请求中正则匹配的所有首部

rspdel  <search> [{if | unless} <cond>]
rspidel <search> [{if | unless} <cond>]  (不区分大小写)

删除HTTP响应中正则匹配的所有首部。属于安全加强策略，删除一些服务器版本信息，防止针对攻击
Example：rspidel Server.*

3.2.5 超时时长设定

timeout client <timeout>

设定客户端最大非活动时长， 默认单位是ms；最好与timeout server一致

timeout server <timeout>

设定服务端最大非活动时长， 默认单位是ms；

timeout connect <timeout>

设定最大与服务端建立连接的时长

timeout http-keep-alive <timeout>

设定最大等待新请求的空闲时长，默认单位为ms；

timeout client-fin <timeout>

在客户端侧设定半关闭连接非活动超时

timeout server-fin <timeout>

在服务端侧设定半关闭连接非活动超时
Example：

defaults http
timeout connect 5s
timeout client 30s
timeout server 30s
timeout client-fin 10s
timeout http-keep-alive 500

四、使用ACLs和获取样本

Haproxy 能够从请求报文，响应报文，从客户端或者服务端信息，从表，环境信息等等中提取数据。提取这样的数据的动作我们称之为获取样本。进行检索时，这些样本可以用来实现各种目的，比如作为粘滞表的键，最常用的用途是，根据预定义的模式来进行匹配。
访问控制列表（ACL）提供一个灵活方案进行内容切换，或者在从请求，响应，任何环境状态中提取的数据基础之上做出决策。控制列表的原则很简单：

执行的动作通常是阻断请求，选择一个后端服务器或者添加一个HTTP首部
需要提醒的是，获取的样本数据不光可以使用在acl中，也可以使用别处，例如记录log中
定义ACL的语法为：

acl <aclname> <criterion> [flags] [operator] [<value>] ...

这样一条语句建立了一个acl 测试；
这些测试应用在请求或响应中被”标准”< criterion > 部分所指定的内容，而且可以指定[ flags] 进行特性调整，有些< criterion > 支持操作符[operator] 进行运算，同时一些转换格式的关键字可以跟在< criterion >后面，使用” , “隔开。而值[< value >] 要求被
< criterion > 所支持的数据形式，多个值使用空格分隔。
< criterion > 通常是指获取样本方法的名称。使用一个获取样本方法，暗含着其输出样本的类型，类型是以下列出的一种：

ACL引擎匹配数据使用的模式类型如下：

ACL flags 可用列表如下:

其中flag中的 -m 选项可使用的模式匹配方法如下，需要说明的是有些方法已被默认指定无需声明，例如int，ip

如果获取样本值为整数，数值比较符可使用，：

eq : true if the tested value equals at least one value
ge : true if the tested value is greater than or equal to at least one value
gt : true if the tested value is greater than at least one value
le : true if the tested value is less than or equal to at least one value
lt : true if the tested value is less than at least one value

想必前面一堆理论性的论述已经把大家搞的晕头转向，下面结合获取样本方法和访问控制动作指令具体阐述ACL使用方法

先介绍控制动作指令

tcp-request connection <action> [{if | unless} <condition>]

对tcp请求控制指令
< condition > 即为ACL定义的访问控制列表
< action > 常用值有 “accept”, “reject”

#阻断符合ACL的访问请求
block { if | unless } <condition> 
#http请求的控制指令
http-request { allow | deny}  [ { if | unless } <condition> ]

#根据条件来调用指定后端
use_backend <backend> [{if | unless} <condition>]

4.1 获取内部状态样本

# 与后端建立会话速率，每秒钟建立的新会话
be_sess_rate([<backend>]) : integer

Example :

# 某后端被请求过于繁忙，则重定向至错误页
    mode http
    acl being_scanned be_sess_rate gt 100
    redirect location /denied.html if being_scanned

4.2 获取layer 4 样本

在传输层获取样本，通常是TCP/IP 协议的IP和端口，以及建立连接速率等等。而且此部分样本通常用于”tcp-request connection”指令中的规则之中。

        dst : ip             #目标地址
        dst_port : integer
        src : ip             #源地址
        src_port : integer

Example:

#阻断来自非指定IP的访问8080端口的请求
acl myhost src 10.1.0.200
acl myport dst_port 8080
tcp-request connection reject if !myhost myport        

4.3 获取layer 7 样本

/1

path : string

提取请求url的地址信息，从第一个”/”开始，不包含host，不包含参数
ACL 衍生，即包含了-m 选项中匹配模式方法 :

path : exact string match
path_beg : prefix match
path_dir : subdir match
path_dom : domain match
path_end : suffix match
path_len : length match
path_reg : regex match
path_sub : substring match

Example：

#请求资源为图片，则调用图片服务器后端
 acl picture path_end -i .jpg .png .gif
 use_backend server_pic if picture

/2

url : string

提取URL的全部内容，包含host和参数
ACL 衍生类似，不再列举

/3

req.hdr([<name>[,<occ>]]) : string

提取http请求的指定首部字段值，< occ >可指定出现的位置
ACL 衍生 :

  hdr([<name>[,<occ>]])     : exact string match
  hdr_beg([<name>[,<occ>]]) : prefix match
  hdr_dir([<name>[,<occ>]]) : subdir match
  hdr_dom([<name>[,<occ>]]) : domain match
  hdr_end([<name>[,<occ>]]) : suffix match
  hdr_len([<name>[,<occ>]]) : length match
  hdr_reg([<name>[,<occ>]]) : regex match
  hdr_sub([<name>[,<occ>]]) : substring match

Example：

#阻断火狐浏览器发送的请求
acl firefox hdr_reg(User-Agent)     -i      .*firefox.*
block if firefox

/4

method : integer + string

提取请求报文中的请求方法

Example：

#拒绝GET HEAD 方式之外的HTTP请求
acl valid_method method GET HEAD
http-request deny if ! valid_method

4.4 内建ACL

HAProxy有众多内建的ACLs，这些ACLs可直接调用，例如

Example:

#拒绝GET HEAD 方式之外的HTTP请求
http-request deny if ! METH_GET

传送门：官方1.5使用手册 http://cbonte.github.io/haproxy-dconv/1.5/configuration.html

— EOF —