HAProxy的三种不同类型配置方案

haproxy是一款功能强大、灵活好用反向代理软件，提供了高可用、负载均衡、后端服务器代理的功能，它在7层负载均衡方面的功能很强大(支持cookie track, header rewrite等等)，支持双机热备，支持虚拟主机，拥有非常不错的服务器健康检查功能，当其代理的后端服务器出现故障, HAProxy会自动将该服务器摘除，故障恢复后再自动将该服务器加入;同时还提供直观的监控页面，可以清晰实时的监控服务集群的运行状况。   

--------------------------------------------------------------------------------
    在四层（tcp）实现负载均衡的软件：
    lvs------>重量级
    nginx------>轻量级，带缓存功能，正则表达式较灵活
    haproxy------>模拟四层转发，较灵活
    在七层（http）实现反向代理的软件：
    haproxy------>天生技能，全面支持七层代理，会话保持，标记，路径转移；
    nginx------>只在http协议和mail协议上功能比较好，性能与haproxy差不多；
    apache------>功能较差

--------------------------------------------------------------------------------
    haproxy的工作模型图

    当用户并发请求达到一定的数量时，使用haproxy进行负载均衡有明显的优势；而且haproxy还可以根据用户的cookies，根据调度算法，将用户一直定向分配到以前访问过的后端服务器上；为了提高网站访问速度，一般在haproxy的后端都要配置缓存服务器，可以是静态页面内容的缓存，也可以是动态网页内容的缓存，生产环境中有必要添加mysql的缓存。
    用户访问网站域名时，DNS解析到外网接口haproxy服务器上，haproxy将请求直接转发（tcp）至后方服务器，或者先分析用户请求，然后以客户端身份向后端服务器发出同样的请求（http），获得后方服务器返回的内容后重新封装，响应给客户端，此时haproxy实现一手端两家，中间翻译官的角色。

--------------------------------------------------------------------------------
    haproxy目前同时更新三个版本
    1.5系列
    1.4系列
    1.3系列
    官方站点：www.haproxy.com
    我们可以到官方下载源码包，编译安装；如果系统安装包内提供了rpm包，可以直接yum安装，这就要看你使用的操作系统版本了。

--------------------------------------------------------------------------------
    配置文件安装目录：/etc/haproxy/haproxy.conf
    haproxy的配置文件分为四个部分：
        全局配置：
        global：  全局配置段
        代理配置：
        default： 默认配置----->所有在backend、frontend、linsten中相同内容可以在此定义；
        frontend：前段配置----->定义前端套接字，接受客户端请求；
        backend： 后端配置----->定义后端分配规则，与后端服务器交互；
        listen：  绑定配置----->直接将指定的客户端与后端特定服务器绑定到一起；
    通常没有特别需求，不需要手动调试配置文件里面的选项，大部分默认值就可以满足我们的需求；而且官方文档介绍说很多选项都建议使用默认。但是有些选项我们经常要打交道的，必须对其有一定了解和调试的能力，下面介绍一些常用选项的配置。

--------------------------------------------------------------------------------
   
    giobal
--------------------------------------------------------------------------------
* 进程管理及安全相关的参数
  - chroot <jail dir>：修改haproxy的工作目录至指定的目录并在放弃权限之前执行chroot()操作，可以提升haproxy的安全级别，不过需要注意的是要确保指定的目录为空目录且任何用户均不能有写权限；
  - daemon：让haproxy以守护进程的方式工作于后台，其等同于“-D”选项的功能，当然，也可以在命令行中以“-db”选项将其禁用；
  - gid <number>：以指定的GID运行haproxy，建议使用专用于运行haproxy的GID，以免因权限问题带来风险；
  - group <group name>：同gid，不过指定的组名；
  - log  <address> <facility> [max level [min level]]：定义全局的syslog服务器，最多可以定义两个；
  - log-send-hostname [<string>]：在syslog信息的首部添加当前主机名，可以为“string”指定的名称，也可以缺省使用当前主机名；
  - nbproc <number>：指定启动的haproxy进程的个数，只能用于守护进程模式的haproxy；默认只启动一个进程，鉴于调试困难等多方面的原因，一般只在单进程仅能打开少数文件描述符的场景中才使用多进程模式；
  - pidfile：
  - uid：以指定的UID身份运行haproxy进程；
  - ulimit-n：设定每进程所能够打开的最大文件描述符数目，默认情况下其会自动进行计算，因此不推荐修改此选项；
  - user：同uid，但使用的是用户名；
  - stats：
  - node：定义当前节点的名称，用于HA场景中多haproxy进程共享同一个IP地址时；
  - description：当前实例的描述信息；

 * 性能调整相关的参数
  - maxconn <number>：设定每个haproxy进程所接受的最大并发连接数，其等同于命令行选项“-n”；“ulimit -n”自动计算的结果正是参照此参数设定的；
  - maxpipes <number>：haproxy使用pipe完成基于内核的tcp报文重组，此选项则用于设定每进程所允许使用的最大pipe个数；每个pipe会打开两个文件描述符，因此，“ulimit -n”自动计算时会根据需要调大此值；默认为maxconn/4，其通常会显得过大；
  - noepoll：在Linux系统上禁用epoll机制；
  - nokqueue：在BSD系统上禁用kqueue机制；
  - nopoll：禁用poll机制；
  - nosepoll：在Linux禁用启发式epoll机制；
  - nosplice：禁止在Linux套接字上使用内核tcp重组，这会导致更多的recv/send系统调用；不过，在Linux 2.6.25-28系列的内核上，tcp重组功能有bug存在；
  - spread-checks <0..50, in percent>：在haproxy后端有着众多服务器的场景中，在精确的时间间隔后统一对众服务器进行健康状况检查可能会带来意外问题；此选项用于将其检查的时间间隔长度上增加或减小一定的随机时长；
  - tune.bufsize <number>：设定buffer的大小，同样的内存条件下，较小的值可以让haproxy有能力接受更多的并发连接，较大的值可以让某些应用程序使用较大的cookie信息；默认为16384，其可以在编译时修改，不过强烈建议使用默认值；
  - tune.chksize <number>：设定检查缓冲区的大小，单位为字节；更大的值有助于在较大的页面中完成基于字符串或模式的文本查找，但也会占用更多的系统资源；不建议修改；
  - tune.maxaccept <number>：设定haproxy进程内核调度运行时一次性可以接受的连接的个数，较大的值可以带来较大的吞吐率，默认在单进程模式下为100，多进程模式下为8，设定为-1可以禁止此限制；一般不建议修改；
  - tune.maxpollevents  <number>：设定一次系统调用可以处理的事件最大数，默认值取决于OS；其值小于200时可节约带宽，但会略微增大网络延迟，而大于200时会降低延迟，但会稍稍增加网络带宽的占用量；
  - tune.maxrewrite <number>：设定为首部重写或追加而预留的缓冲空间，建议使用1024左右的大小；在需要使用更大的空间时，haproxy会自动增加其值；
  - tune.rcvbuf.client <number>：
  - tune.rcvbuf.server <number>：设定内核套接字中服务端或客户端接收缓冲的大小，单位为字节；强烈推荐使用默认值；
  - tune.sndbuf.client：
  - tune.sndbuf.server：
 * Debug相关的参数
  - debug
  - quiet
------------------------------------------------------------------------------------
 

--------------------------------------------------------------------------------
    hash-type
hash-type <method>
定义用于将hash码映射至后端服务器的方法；其不能用于frontend区段；可用方法有map-based和consistent，在大多数场景下推荐使用默认的map-based方法。
map-based：hash表是一个包含了所有在线服务器的静态数组。其hash值将会非常平滑，会将权重考虑在列，但其为静态方法，对在线服务器的权重进行调整将不会生效，这意味着其不支持慢速启动。此外，挑选服务器是根据其在数组中的位置进行的，因此，当一台服务器宕机或添加了一台新的服务器时，大多数连接将会被重新派发至一个与此前不同的服务器上，对于缓存服务器的工作场景来说，此方法不甚适用。
consistent：hash表是一个由各服务器填充而成的树状结构；基于hash键在hash树中查找相应的服务器时，最近的服务器将被选中。此方法是动态的，支持在运行时修改服务器权重，因此兼容慢速启动的特性。添加一个新的服务器时，仅会对一小部分请求产生影响，因此，尤其适用于后端服务器为cache的场景。不过，此算法不甚平滑，派发至各服务器的请求未必能达到理想的均衡效果，因此，可能需要不时的调整服务器的权重以获得更好的均衡性。

--------------------------------------------------------------------------------
    bind
bind [<address>]:<port_range> [, ...]
bind [<address>]:<port_range> [, ...] interface <interface>
此指令仅能用于frontend和listen区段，用于定义一个或几个监听的套接字。
<address>：可选选项，其可以为主机名、IPv4地址、IPv6地址或*；省略此选项、将其指定为*或0.0.0.0时，将监听当前系统的所有IPv4地址；
<port_range>：可以是一个特定的TCP端口，也可是一个端口范围(如5005-5010)，代理服务器将通过指定的端口来接收客户端请求；需要注意的是，每组监听的套接字<address:port>在同一个实例上只能使用一次，而且小于1024的端口需要有特定权限的用户才能使用，这可能需要通过uid参数来定义；
<interface>：指定物理接口的名称，仅能在Linux系统上使用；其不能使用接口别名，而仅能使用物理接口名称，而且只有管理有权限指定绑定的物理接口；
    例如：
 forntend  main
        bind *:80
        bind *:8080

--------------------------------------------------------------------------------
 
  mode
mode { tcp|http|health }
设定实例的运行模式或协议。当实现内容交换时，前端和后端必须工作于同一种模式(一般说来都是HTTP模式)，否则将无法启动实例。
tcp：实例运行于纯TCP模式，在客户端和服务器端之间将建立一个全双工的连接，且不会对7层报文做任何类型的检查；此为默认模式，通常用于SSL、SSH、SMTP等应用；
http：实例运行于HTTP模式，客户端请求在转发至后端服务器之前将被深度分析，所有不与RFC格式兼容的请求都会被拒绝；
health：实例工作于health模式，其对入站请求仅响应“OK”信息并关闭连接，且不会记录任何日志信息；此模式将用于响应外部组件的健康状态检查请求；目前业讲，此模式已经废弃，因为tcp或http模式中的monitor关键字可完成类似功能；

--------------------------------------------------------------------------------
    log
log global
log <address> <facility> [<level> [<minlevel>]]
为每个实例启用事件和流量日志，因此可用于所有区段。每个实例最多可以指定两个log参数，不过，如果使用了“log global”且"global"段已经定了两个log参数时，多余了log参数将被忽略。
global：当前实例的日志系统参数同"global"段中的定义时，将使用此格式；每个实例仅能定义一次“log global”语句，且其没有任何额外参数；
<address>：定义日志发往的位置，其格式之一可以为<IPv4_address:PORT>，其中的port为UDP协议端口，默认为514；格式之二为Unix套接字文件路径，但需要留心chroot应用及用户的读写权限；
<facility>：可以为syslog系统的标准facility之一；
<level>：定义日志级别，即输出信息过滤器，默认为所有信息；指定级别时，所有等于或高于此级别的日志信息将会被发送；

--------------------------------------------------------------------------------
  maxconn
maxconn <conns>
设定一个前端的最大并发连接数，因此，其不能用于backend区段。对于大型站点来说，可以尽可能提高此值以便让haproxy管理连接队列，从而避免无法应答用户请求。当然，此最大值不能超出“global”段中的定义。此外，需要留心的是，haproxy会为每个连接维持两个缓冲，每个缓冲的大小为8KB，再加上其它的数据，每个连接将大约占用17KB的RAM空间。这意味着经过适当优化后，有着1GB的可用RAM空间时将能维护40000-50000并发连接。
如果为<conns>指定了一个过大值，极端场景下，其最终占据的空间可能会超出当前主机的可用内存，这可能会带来意想不到的结果；因此，将其设定了一个可接受值方为明智决定。其默认为2000。

--------------------------------------------------------------------------------
   
  default_backend
default_backend <backend>
在没有匹配的"use_backend"规则时为实例指定使用的默认后端，因此，其不可应用于backend区段。在"frontend"和"backend"之间进行内容交换时，通常使用"use-backend"定义其匹配规则；而没有被规则匹配到的请求将由此参数指定的后端接收。
<backend>：指定使用的后端的名称；
使用案例：
use_backend    dynamic  if  url_dyn
use_backend    static  if  url_css url_img extension_img
default_backend dynamic

--------------------------------------------------------------------------------
 
 server  定义后端服务器
------------------------------------------------------------------------------------
server <name> <address>[:port] [param*]
为后端声明一个server，因此，不能用于defaults和frontend区段。
    <name>：为此服务器指定的内部名称，其将出现在日志及警告信息中；如果设定了"http-send-server-name"，它还将被添加至发往此服务器的请求首部中；
    <address>：此服务器的的IPv4地址，也支持使用可解析的主机名，只不过在启动时需要解析主机名至相应的IPv4地址；
    [:port]：指定将连接请求所发往的此服务器时的目标端口，其为可选项；未设定时，将使用客户端请求时的同一相端口；
    [param*]：为此服务器设定的一系参数；其可用的参数非常多，具体请参考官方文档中的说明，下面仅说明几个常用的参数；
---------------------------------------------------
    服务器或默认服务器参数：

-------------------------------------------------------------------------------------   

--------------------------------------------------------------------------------
    capture request header
capture request header <name> len <length>
捕获并记录指定的请求首部最近一次出现时的第一个值，仅能用于“frontend”和“listen”区段。捕获的首部值使用花括号{}括起来后添加进日志中。如果需要捕获多个首部值，它们将以指定的次序出现在日志文件中，并以竖线“|”作为分隔符。不存在的首部记录为空字符串，最常需要捕获的首部包括在虚拟主机环境中使用的“Host”、上传请求首部中的“Content-length”、快速区别真实用户和网络机器人的“User-agent”，以及代理环境中记录真实请求来源的“X-Forward-For”。
    <name>：要捕获的首部的名称，此名称不区分字符大小写，但建议与它们出现在首部中的格式相同，比如大写首字母。需要注意的是，记录在日志中的是首部对应的值，而非首部名称。
    <length>：指定记录首部值时所记录的精确长度，超出的部分将会被忽略。
可以捕获的请求首部的个数没有限制，但每个捕获最多只能记录64个字符。为了保证同一个frontend中日志格式的统一性，首部捕获仅能在frontend中定义。
  capture response header
capture response header <name> len <length>
捕获并记录响应首部，其格式和要点同请求首部。

--------------------------------------------------------------------------------
   
    stats enable
启用基于程序编译时默认设置的统计报告，不能用于“frontend”区段。只要没有另外的其它设定，它们就会使用如下的配置：
  - stats uri  : /haproxy?stats                                //url
  - stats realm : "HAProxy Statistics"                      //做认证是提供的信息
  - stats auth  : no authentication
  - stats scope : no restriction                              //无限制

尽管“stats enable”一条就能够启用统计报告，但还是建议设定其它所有的参数，以免其依赖于默认设定而带来非期后果。下面是一个配置案例。
 
123456789 backend public_www
    server websrv1 172.16.100.11:80
    stats enable
    stats hide-version
    stats scope  .
    stats uri    /haproxyadmin?stats
    stats realm  Haproxy\ Statistics
    stats auth    statsadmin:password
    stats auth    statsmaster:password

-------------------------------------------------------------------------------------
    stats hide-version
启用统计报告并隐藏HAProxy版本报告，不能用于“frontend”区段。默认情况下，统计页面会显示一些有用信息，包括HAProxy的版本号，然而，向所有人公开HAProxy的精确版本号是非常有风险的，因为它能帮助恶意用户快速定位版本的缺陷和漏洞。尽管“stats hide-version”一条就能够启用统计报告，但还是建议设定其它所有的参数，以免其依赖于默认设定而带来非期后果。具体请参照“stats enable”一节的说明。
-------------------------------------------------------------------------------------
    stats realm
stats realm <realm>
启用统计报告并高精认证领域，不能用于“frontend”区段。haproxy在读取realm时会将其视作一个单词，因此，中间的任何空白字符都必须使用反斜线进行转义。此参数仅在与“stats auth”配置使用时有意义。
<realm>：实现HTTP基本认证时显示在浏览器中的领域名称，用于提示用户输入一个用户名和密码。
尽管“stats realm”一条就能够启用统计报告，但还是建议设定其它所有的参数，以免其依赖于默认设定而带来非期后果。具体请参照“stats enable”一节的说明。
-------------------------------------------------------------------------------------
  stats scope
stats scope { <name> | "." }
启用统计报告并限定报告的区段，不能用于“frontend”区段。当指定此语句时，统计报告将仅显示其列举出区段的报告信息，所有其它区段的信息将被隐藏。如果需要显示多个区段的统计报告，此语句可以定义多次。需要注意的是，区段名称检测仅仅是以字符串比较的方式进行，它不会真检测指定的区段是否真正存在。
<name>：可以是一个“listen”、“frontend”或“backend”区段的名称，而“.”则表示stats scope语句所定义的当前区段。
尽管“stats scope”一条就能够启用统计报告，但还是建议设定其它所有的参数，以免其依赖于默认设定而带来非期后果。下面是一个配置案例。
 backend private_monitoring
    stats enable
    stats uri    /haproxyadmin?stats
    stats refresh 10s

----------------------------------------------------------------------------------------
  stats auth
stats auth <user>:<passwd>
启用带认证的统计报告功能并授权一个用户帐号，其不能用于“frontend”区段。
<user>：授权进行访问的用户名；
<passwd>：此用户的访问密码，明文格式；
此语句将基于默认设定启用统计报告功能，并仅允许其定义的用户访问，其也可以定义多次以授权多个用户帐号。可以结合“stats realm”参数在提示用户认证时给出一个领域说明信息。在使用非法用户访问统计功能时，其将会响应一个“401 Forbidden”页面。其认证方式为HTTP Basic认证，密码传输会以明文方式进行，因此，配置文件中也使用明文方式存储以说明其非保密信息故此不能相同于其它关键性帐号的密码。
尽管“stats auth”一条就能够启用统计报告，但还是建议设定其它所有的参数，以免其依赖于默认设定而带来非期后果。
---------------------------------------------------------------------------------------
  stats admin
stats admin { if | unless } <cond>
在指定的条件满足时启用统计报告页面的管理级别功能，它允许通过web接口启用或禁用服务器，不过，基于安全的角度考虑，统计报告页面应该尽可能为只读的。此外，如果启用了HAProxy的多进程模式，启用此管理级别将有可能导致异常行为。
目前来说，POST请求方法被限制于仅能使用缓冲区减去保留部分之外的空间，因此，服务器列表不能过长，否则，此请求将无法正常工作。因此，建议一次仅调整少数几个服务器。下面是两个案例，第一个限制了仅能在本机打开报告页面时启用管理级别功能，第二个定义了仅允许通过认证的用户使用管理级别功能。
backend stats_localhost
    stats enable
    stats admin if LOCALHOST
backend stats_auth
    stats enable
    stats auth  haproxyadmin:password
    stats admin if TRUE

--------------------------------------------------------------------------------
option logasap
no option logasap
启用或禁用提前将HTTP请求记入日志，不能用于“backend”区段。
默认情况下，HTTP请求是在请求结束时进行记录以便能将其整体传输时长和字节数记入日志，由此，传较大的对象时，其记入日志的时长可能会略有延迟。“option logasap”参数能够在服务器发送complete首部时即时记录日志，只不过，此时将不记录整体传输时长和字节数。此情形下，捕获“Content-Length”响应首部来记录传输的字节数是一个较好选择。下面是一个例子。
 
listen http_proxy 0.0.0.0:80
      mode http
      option httplog
      option logasap
      log 172.16.13.9 local2

--------------------------------------------------------------------------------
    option forwardfor
option forwardfor [ except <network> ] [ header <name> ] [ if-none ]
允许在发往服务器的请求首部中插入“X-Forwarded-For”首部。
    <network>：可选参数，当指定时，源地址为匹配至此网络中的请求都禁用此功能。
    <name>：可选参数，可使用一个自定义的首部，如“X-Client”来替代“X-Forwarded-For”。有些独特的web服务器的确需要用于一个独特的首部。
    if-none：仅在此首部不存在时才将其添加至请求报文问道中。