解密负载均衡：如何轻松提升业务性能

F5

• 美国F5网络公司官网：F5 | 多云安全和应用交付

Netscaler

• 美国思杰公司产品页面：NetScaler: Application Delivery at Scale

Array

• 华耀官网：北京华耀科技有限公司

AD-1000

• 深信服官网：深信服 - 让每个用户的数字化更简单、更安全

haproxy -v

软件安装包： haproxy-2.4.22-3.el9_3.x86_64.rpm
启动文件： /lib/systemd/system/haproxy.service
主配置目录： /etc/haproxy/
主配置文件： /etc/haproxy/haproxy.cfg
子配置目录： /etc/haproxy/conf.d

systemctl start haproxy.service 

pstree -p | grep haproxy

cat /proc/xxxx(haproxy子进程id)/status

defaults
mode http #HAProxy实例使用的连接协议
log global #指定日志地址和记录日志条目的
syslog/rsyslog日志设备
#此处的 global表示使用 global配置段中
设定的log值。
option httplog #日志记录选项，httplog表示记录与 HTTP
会话相关的各种属性值
#包括 HTTP请求、会话状态、连接数、源地
址以及连接时间等
option dontlognull #dontlognull表示不记录空会话连接日志
option http-server-close #等待客户端完整HTTP请求的时间，此处为等
待10s。
option forwardfor except 127.0.0.0/8 #透传客户端真实IP至后端web服务器
#在apache配置文件中加入:<br>%{XForwarded-For}i
#后在webserver中看日志即可看到地址透传
信息
option redispatch #当server Id对应的服务器挂掉后，强制定
向到其他健康的服务器，重新派发
option http-keep-alive #开启与客户端的会话保持
retries 3 #连接后端服务器失败次数
3.3.2.3 Proxies配置-frontend
frontend 配置参数：
frontend 配置示例：
timeout http-request 10s #等待客户端请求完全被接收和处理的最长时
间
timeout queue 1m #设置删除连接和客户端收到503或服务不可
用等提示信息前的等待时间
timeout connect 120s #设置等待服务器连接成功的时间
timeout client 600s #设置允许客户端处于非活动状态，即既不发
送数据也不接收数据的时间
timeout server 600s #设置服务器超时时间，即允许服务器处于既
不接收也不发送数据的非活动时间
timeout http-keep-alive 60s #session 会话保持超时时间，此时间段内
会转发到相同的后端服务器
timeout check 10s #指定后端服务器健康检查的超时时间
maxconn 3000
default-server inter 1000 weight 3

systemctl restart haproxy.service 

frontend lee-webserver-80
bind 172.25.254.100:80
mode http
use_backend lee-webserver-80-RS

backend lee-webserver-80-RS
mode http
server web1 172.25.254.10:80 check inter 3s fall 3 rise 5
server web2 172.25.254.20:80 check inter 3s fall 3 rise 5

systemctl restart haproxy.service 

测试：

在RS1,RS2安装nginx:

dnf install nginx -y

开启：

systemctl start nginx

在网页文档中写入内容：

#写在RS1
echo RS1 -172.25.254.10 > /usr/share/nginx/html/index.html
#写在RS2
echo RS2 -172.25.254.20 > /usr/share/nginx/html/index.html

在客户端测试：

for N in {1..6};do curl 172.25.254.100;done

systemctl restart haproxy.service

客户端测试：

for N in {1..6};do curl 172.25.254.100;done

echo "show servers state" | socat stdio /var/lib/haproxy/stats

 echo get weight webserver/web1 | socat stdio /var/lib/haproxy/stats 

echo set weight webserver/web1 1 | socat stdio /var/lib/haproxy/stats 

curl 172.25.254.100/index.html?name=aaa

#静态
static-rr--------->tcp/http
first------------->tcp/http
#动态
roundrobin-------->tcp/http
leastconn--------->tcp/http
random------------>tcp/http
#以下静态和动态取决于hash_type是否consistent
source------------>tcp/http
Uri--------------->http
url_param--------->http
hdr--------------->http

first #使用较少
static-rr #做了session共享的web集群
roundrobin
random
leastconn #数据库
source
#基于客户端公网IP的会话保持
Uri--------------->http #缓存服务器，CDN服务商，蓝汛、百度、阿里云、腾讯
url_param--------->http #可以实现session保持
hdr #基于客户端请求报文头部做下一步处理

listen statsmode httpbind  *:1616stats enablelog globalstats uri /statusstats auth xyz:xyz

tail -n 3 /var/log/nginx/access.log

' "$proxy_protocol_addr"'80 proxy_protocol; #启用此项，将无法直接访问此网站，只能通过四层代理

vim /etc/nginx/nginx.conf
systemctl restart nginx

tail -n 3 /var/log/nginx/access.log

1 HAProxy配置

在由haproxy发往后端主机的请求报文中添加“X-Forwarded-For"首部，其值为前端客户端的地址；用于向后端主发送真实的客户端IP

修改haproxy：

vim /etc/haproxy/haproxy.cfg

LogFormat "%{X-Forwarded-For}i %a %l %u %t \"%r\" %>s %b \"%{Referer}i\" \"%{User-Agent}i\"" combined

ACL

访问控制列表ACL，Access Control Lists）

是一种基于包过滤的访问控制技术

它可以根据设定的条件对经过服务器传输的数据包进行过滤(条件匹配)即对接收到的报文进行匹配和过

滤，基于请求报文头部中的源地址、源端口、目标地址、目标端口、请求方法、URL、文件后缀等信息内

容进行匹配并执行进一步操作，比如允许其通过或丢弃。

ACL示例-域名匹配：

listen mysql_port
bind :3306
mode tcp
balance leastconn
server mysql1 192.168.0.101:3306 check
server mysql2 192.168.0.102:3306 check

yum install mariadb-server -yvim /etc/my.cnf[mysqld]
server-id=1 #在另一台主机为[mysqld]
server-id=2 #在另一台主机为

mysql -e "grant all on *.* to lee@'%' identified by 'lee';"

客户端测试：

mysql -ulee -plee -h 172.25.254.100 -e "show variables like
'hostname'"

mkdir /etc/haproxy/certs/

openssl req  -newkey rsa:2048 -nodes  -sha256 -keyout /etc/haproxy/certs/timinglee.org.key -x509 -days 365 -out /etc/haproxy/certs/timinglee.org.crt

cat /etc/haproxy/certs/timinglee.org.crt \/etc/haproxy/certs/timinglee.org.key \> /etc/haproxy/timinglee.org.pem

frontend webserver
bind *:80
redirect scheme https if !{ ssl_fc }
mode http
use_backend webcluster
frontend webserver-https
bind *:443 ssl crt /etc/haproxy/timinglee.org.pem
mode http
use_backend webcluster
backend webcluster
mode http
balance roundrobin
server web1 172.25.254.10:80 check inter 3s fall 3 rise 5
server web2 172.25.254.20:80 check inter 3s fall 3 rise 5

curl -IkL http://172.25.254.100

haproxy -c -f /etc/haproxy/haproxy.cfg