阅读量:0
目录
目录
haproxy简介
HAProxy 是一款免费、开源且非常快速和可靠的负载均衡和代理软件。 有以下一些主要特点和优势：
1. 负载均衡：能够在多个后端服务器之间均匀地分配网络流量，支持多种负载均衡算法，如轮询、加权轮询、最少连接等。
2. 高可用性：监测后端服务器的健康状况，自动将流量从故障服务器转移到正常服务器，确保服务的连续性。
3. 性能出色：在处理大量并发连接时表现出色，具有低延迟和高吞吐量。
4. 支持多种协议：包括 HTTP、HTTPS、TCP 等，可以用于不同类型的应用和服务的负载均衡。
5. 灵活的配置：通过配置文件进行详细和灵活的设置，以满足各种复杂的业务需求。
6. 会话保持：能够根据不同的策略（如源 IP 地址、Cookie 等）保持用户会话与同一后端服务器的关联。
7. 前端和后端的分离：清晰地定义前端接收客户端请求的规则和后端服务器池的配置。
8. 监控和统计：提供丰富的监控指标和统计信息，有助于管理员了解系统的运行状态和性能。
HAProxy 广泛应用于大型网站、云计算环境和企业级应用架构中，是一款具备高并发(万级以上)、高性能的TCP和HTTP负载均衡器 ，支持基于cookie的持久性，自动故障切换，支持正则表达式及web状态统计
haproxy的基本信息
haproxy下载并查看版本
[root@haproxy ~]# yum install haproxy -y [root@haproxy ~]# haproxy -v HAProxy version 2.4.22-f8e3218 2023/02/14 - https://haproxy.org/ Status: long-term supported branch - will stop receiving fixes around Q2 2026. Known bugs: http://www.haproxy.org/bugs/bugs-2.4.22.html Running on: Linux 5.14.0-427.13.1.el9_4.x86_64 #1 SMP PREEMPT_DYNAMIC Wed Apr 10 10:29:16 EDT 2024 x86_64 
haproxy的基本配置信息
HAProxy 的配置文件haproxy.cfg由两大部分组成，分别是：
global：（全局配置段）
进程及安全配置相关的参数
性能调整相关参数
Debug参数
proxies：（代理配置段）
defaults：为frontend, backend, listen提供默认配置
frontend：前端，相当于nginx中的server {}
backend：后端，相当于nginx中的upstream {}
listen：同时拥有前端和后端配置,配置简单,生产推荐使用
global配置
global的配置都是全局配置
global
log 127.0.0.1 local2 # 将日志发送到本地 IP 127.0.0.1 的 local2 日志设施
chroot /var/lib/haproxy # 修改进程的根目录为 /var/lib/haproxy，锁定运行目录
pidfile /var/run/haproxy.pid # 指定 HAProxy 进程的 PID 文件路径
maxconn 4000 # 设置最大并发连接数为 4000
user haproxy # 以 haproxy 用户运行进程
group haproxy # 所属的用户组为 haproxy
daemon # 以守护进程方式运行
stats socket /var/lib/haproxy/stats # 启用统计信息的 Unix 套接字
ssl-default-bind-ciphers PROFILE=SYSTEM # 使用系统默认的绑定加密策略
ssl-default-server-ciphers PROFILE=SYSTEM # 使用系统默认的服务器加密策略
多进程和多线程
启用多进程
[root@haproxy ~]# vim /etc/haproxy/haproxy.cfg global log 127.0.0.1 local2 chroot /var/lib/haproxy pidfile /var/run/haproxy.pid maxconn 4000 user haproxy group haproxy daemon # turn on stats unix socket stats socket /var/lib/haproxy/stats1 mode 600 level admin process 1 stats socket /var/lib/haproxy/stats2 mode 600 level admin process 2 # utilize system-wide crypto-policies ssl-default-bind-ciphers PROFILE=SYSTEM ssl-default-server-ciphers PROFILE=SYSTEM nbproc 2 cpu-map 1 0 cpu-map 2 1 
启用多线程
[root@haproxy ~]# vim /etc/haproxy/haproxy.cfg global log 127.0.0.1 local2 chroot /var/lib/haproxy pidfile /var/run/haproxy.pid maxconn 4000 user haproxy group haproxy daemon # turn on stats unix socket stats socket /var/lib/haproxy/stats1 mode 600 level admin process 1 stats socket /var/lib/haproxy/stats2 mode 600 level admin process 2 # utilize system-wide crypto-policies ssl-default-bind-ciphers PROFILE=SYSTEM ssl-default-server-ciphers PROFILE=SYSTEM nbthread 2 
haproxy开启多线程和多进程有什么用
多线程：
1. 提高并发处理能力：能够同时处理多个并发连接和请求，从而提升整体的性能和吞吐量。
2. 更好地利用多核 CPU 资源：充分发挥现代多核处理器的优势，提高资源利用率。
多进程： 1
. 增强稳定性：当一个进程出现故障时，其他进程可以继续工作，降低了单点故障的影响，提高了服务的可用性。
2. 资源隔离：不同的进程可以有独立的资源分配，避免相互干扰，有助于保障服务的稳定性和性能。
3. 便于管理和监控：可以对不同的进程进行单独的管理、配置和监控，更加灵活和精确地控制 Haproxy 的运行状态。
proxies配置
| 参数 | 作用 |
| defaults | 默认配置项，针对以下的frontend、backend和listen生效，可以多个 name也可以没有name |
| frontend | 前端servername，类似于Nginx的一个虚拟主机 server和LVS服务集 群。 |
| backend | 后端服务器组，等于nginx的upstream和LVS中的RS服务器 |
| listen | 将frontend和backend合并在一起配置，相对于frontend和backend 配置更简洁，生产常用 |
defaults
defaults
mode http # 默认为 HTTP 模式
log global # 继承全局的日志配置
option httplog # 启用详细的 HTTP 日志记录
option dontlognull # 不记录空的内容（例如，没有有效数据的请求）
option http-server-close # 服务器主动关闭连接
option forwardfor except 127.0.0.0/8 # 转发客户端真实 IP，但排除 127.0.0.0/8 网段
option redispatch # 当后端服务器不可用时，重新分配请求到其他可用服务器
retries 3 # 重试次数为 3 次
timeout http-request 10s # HTTP 请求的超时时间为 10 秒
timeout queue 1m # 队列超时时间为 1 分钟
timeout connect 10s # 连接超时时间为 10 秒
timeout client 1m # 客户端超时时间为 1 分钟
timeout server 1m # 服务器超时时间为 1 分钟
timeout http-keep-alive 10s # HTTP 保持活动连接的超时时间为 10 秒
timeout check 10s # 健康检查的超时时间为 10 秒
maxconn 3000 # 最大并发连接数为 3000
frontend
frontend main
bind *:5000 # 表示绑定到所有接口的 5000 端口
acl url_static path_beg -i /static /images /javascript /stylesheets # 定义一个名为 url_static 的访问控制列表（ACL），当请求路径以指定的字符串（不区分大小写）开头时匹配
acl url_static path_end -i .jpg .gif .png .css .js # 当请求路径以指定的文件扩展名（不区分大小写）结尾时也匹配
use_backend static if url_static # 如果请求匹配 url_static 这个 ACL 条件，则使用名为 static 的后端
default_backend app # 默认使用名为 app 的后端
backend
backend static
balance roundrobin # 为后端的服务器采用轮询（roundrobin）的负载均衡算法
server static 127.0.0.1:4331 check # 定义名为 static 的服务器，地址为 127.0.0.1:4331，并启用健康检查
listen
使用listen替换 frontend和backend的配置方式，可以简化设置，通常只用于TCP协议的应用
socat工具
socat是一个多功能的命令行工具，用于在两个不同的数据通道之间建立连接和数据传输。 它支持多种类型的通道，例如网络套接字、文件、进程管道等。`socat` 常用于数据转发、端口转发、创建虚拟连接以及在不同类型的接口之间转换数据。 例如，可以使用 `socat` 来将一个本地端口的连接转发到另一个远程主机和端口，或者将一个文件的内容发送到网络端口。
对服务器动态权重和其它状态可以利用 socat工具进行调整，Socat 是 Linux 下的一个多功能的网络工具
实例：
使用多进程来做实例
[root@haproxy ~]# vim /etc/haproxy/haproxy.cfg stats socket /var/lib/haproxy/stats1 mode 600 level admin process 1 stats socket /var/lib/haproxy/stats2 mode 600 level admin process 2 29 nbproc 2 30 cpu-map 1 0 31 cpu-map 2 1 [root@haproxy ~]# echo get weight webcluster/web1 | socat stdio /var/lib/haproxy/stats1 #查看权重 1 (initial 1) [root@haproxy ~]# echo "set weight webcluster/web1 2"| socat stdio /var/lib/haproxy/stats1 #改权重 [root@haproxy ~]# echo "disable server webcluster/web1"| socat stdio /var/lib/haproxy/stats1 #禁用名为 webcluster/web1 的服务器 [root@haproxy ~]# echo "enable server webcluster/web1"| socat stdio /var/lib/haproxy/stats1 #启用用名为 webcluster/web1 的服务器
测试结果
haproxy的算法
实验环境配置
| 名称 | IP |
| haproxy | 172.25.254.100 |
| webserver1 | 172.25.254.10 |
| webserver2 | 172.25.254.20 |
haproxy主机上下载haproxy
webserver主机上下载apache，并在webserver1上写入网页内容1111111，在webserver2上写入网页内容2222222
静态算法
静态算法是指在负载均衡决策过程中不考虑服务器的实时状态（如当前连接数、负载等）的算法。 常见的静态负载均衡算法包括：
1. 轮询（Round Robin）：按顺序依次将请求分配到后端的每台服务器。
2. 加权轮询（Weighted Round Robin）：为后端服务器分配不同的权重，根据权重比例分配请求。
静态算法相对简单，适用于后端服务器性能相对稳定且差异不大的情况。但它们无法根据服务器的实时负载和健康状况进行动态调整。
static-rr：基于权重的轮询调度
- 不支持运行时利用socat进行权重的动态调整(只支持0和1,不支持其它值)
- 不支持端服务器慢启动
- 其后端主机数量没有限制，相当于LVS中的 wrr
实例：
[root@haproxy ~]# vim /etc/haproxy/haproxy.cfg listen webcluster bind *:80 mode http balance static-rr server web1 172.25.254.10:80 check inter 2 fall 3 rise 5 weight 1 server web2 172.25.254.20:80 check inter 2 fall 3 rise 5 weight 1
测试结果：
[root@haproxy ~]# for i in {1..10};do curl 172.25.254.100;done（不支持运行时利用socat进行权重的动态调整）
first
- 根据服务器在列表中的位置，自上而下进行调度
- 其只会当第一台服务器的连接数达到上限，新请求才会分配给下一台服务
- 其会忽略服务器的权重设置
- 不支持用socat进行动态修改权重,可以设置0和1,可以设置其它值但无效
实例：
这里添加maxconn 1（最大链接数为1仅做演示效果）
[root@haproxy ~]# vim /etc/haproxy/haproxy.cfg listen webcluster bind *:80 mode http balance first server web1 172.25.254.10:80 maxconn 1 check inter 2 fall 3 rise 5 weight 1 server web2 172.25.254.20:80 check inter 2 fall 3 rise 5 weight 1
测试结果：
[root@webserver1 ~]# while true ; do curl 172.25.254.100; sleep 0.1;done（如果webserver1满了才会使用webserver2）
动态算法
roundrobin
- 基于权重的轮询动态调度算法，
- 支持权重的运行时调整，不同于lvs中的rr轮训模式，
- HAProxy中的roundrobin支持慢启动(新加的服务器会逐渐增加转发数)，
- 其每个后端backend中最多支持4095个real server，
- 支持对real server权重动态调整，
- roundrobin为默认调度算法,此算法使用广泛
实例：
[root@haproxy ~]# vim /etc/haproxy/haproxy.cfg listen webcluster bind *:80 mode http balance roundrobin server web1 172.25.254.10:80 check inter 2 fall 3 rise 5 weight 2 server web2 172.25.254.20:80 check inter 2 fall 3 rise 5 weight 1
测试结果：
（支持运行时利用socat进行权重的动态调整）
leastconn
- leastconn加权的最少连接的动态
- 支持权重的运行时调整和慢启动，即:根据当前连接最少的后端服务器而非权重进行优先调度(新客户 端连接)
- 比较适合长连接的场景使用，比如：MySQL等场景
实例：
[root@haproxy ~]# vim /etc/haproxy/haproxy.cfg listen webcluster bind *:80 mode http balance leastconn server web1 172.25.254.10:80 check inter 2 fall 3 rise 5 weight 2 server web2 172.25.254.20:80 check inter 2 fall 3 rise 5 weight 1
其他算法
其它算法即可作为静态算法，又可以通过选项成为动态算法
source
源地址hash，基于用户源地址hash并将请求转发到后端服务器，后续同一个源地址请求将被转发至同一 个后端web服务器。此方式当后端服务器数据量发生变化时，会导致很多用户的请求转发至新的后端服 务器，默认为静态方式，但是可以通过hash-type支持的选项更改这个算法一般是在不插入Cookie的TCP 模式下使用，也可给拒绝会话cookie的客户提供最好的会话粘性，适用于session会话保持但不支持 cookie和缓存的场景源地址有两种转发客户端请求到后端服务器的服务器选取计算方式，分别是取模法 和一致性hash
map-base 取模法
对source地址进行hash计算，再基于服务器总权重的取模，最终结果决定将此请 求转发至对应的后端服务器。
此方法是静态的，即不支持在线调整权重，不支持慢启动，可实现对后端服务器均衡调度
缺点是当服务器的总权重发生变化时，即有服务器上线或下线，都会因总权重发生变化而导致调度结果 整体改变 hash-type 指定的默值为此算法
所谓取模运算，就是计算两个数相除之后的余数，10%7=3, 7%4=3 map-based算法：基于权重取模，hash(source_ip)%所有后端服务器相加的总权重
比如当源hash值时1111，1112，1113，三台服务器a b c的权重均为1， 即abc的调度标签分别会被设定为 0 1 2
（1111%3=1，1112%3=2，1113%3=0）
1111 ----- > nodeb
1112 ------> nodec
1113 ------> nodea
如果a下线后，权重数量发生变化
1111%2=1，1112%2=0，1113%2=1
1112和1113被调度到的主机都发生变化，这样会导致会话丢失
一致性hash
当服务器的总权重发生变化时，对调度结果影响是局部的，不会引起大的变动hash（o） mod n
该hash算法是动态的，支持使用 socat等工具进行在线权重调整，支持慢启动
算法：
1、后端服务器哈希环点keyA=hash(后端服务器虚拟ip)%(2^32)
2、客户机哈希环点key1=hash(client_ip)%(2^32) 得到的值在[0---4294967295]之间，
3、将keyA和key1都放在hash环上，将用户请求调度到离key1最近的keyA对应的后端服务器
！！！hash环是0到2的32次方减1个数字落在一个圆上
一致性hash示意图
后端服务器在线与离线的调度方式
实例：
有hash-type就是动态算法，没有hash-type就是静态算法
[root@haproxy ~]# vim /etc/haproxy/haproxy.cfg listen webcluster bind *:80 mode http balance source hash-type consistent server web1 172.25.254.10:80 check inter 2 fall 3 rise 5 weight 2 server web2 172.25.254.20:80 check inter 2 fall 3 rise 5 weight 1
其他功能及配置
cookie value介绍
cookie value：为当前server指定cookie值，实现基于cookie的会话黏性，相对于基于 source 地址hash 调度算法对客户端的粒度更精准，但同时也加大了haproxy负载。
网站通过在服务器端设置 Cookie，并指定其值，然后将 Cookie 发送到用户的浏览器。当用户再次访问该网站时，浏览器会将相关的 Cookie 值发送回服务器，以便网站能够识别用户身份、提供个性化的服务或执行特定的功能。
目前此模式使用较少， 已经被session 共享服务器代替
注意：不支持 tcp mode，使用 http mode
haproxy端的配置
实例：
vim /etc/haproxy/haproxy.cfg cookie webcookie insert nocache indirect server web1 172.25.254.10:80 cookie lee1 check inter 2 fall 3 rise 5 weight 1 server web2 172.25.254.20:80 cookie lee2 check inter 2 fall 3 rise 5 weight 2测试结果
IP 透传
介绍
“IP 透传”（IP Passthrough）是一种网络配置方式，指的是将网络服务提供商分配给用户的公网 IP 地址直接传递或分配给用户设备，而不是经过网络地址转换（NAT）处理。 在传统的网络环境中，特别是在使用家庭宽带时，多个设备通过路由器共享一个公共 IP 地址，内部设备的私有 IP 地址通过 NAT 转换为公共 IP 地址来与外部网络通信。而 IP 透传则允许特定设备直接获得公网 IP 地址，从而能够更直接地与外部网络进行通信。 IP 透传的主要优点包括： 1. 对于某些需要直接暴露在公网的服务或应用（如远程监控、服务器托管等），可以实现更直接和高效的连接。 2. 减少由于 NAT 转换可能带来的网络性能损耗和一些兼容性问题。 然而，IP 透传也可能带来一些潜在的安全风险，例如直接暴露的设备可能更容易受到网络攻击。在使用 IP 透传时，需要采取适当的安全措施来保护设备和网络。
四层ip透传
接收端是nginx
haproxy端配置
[root@haproxy ~]# vim /etc/haproxy/haproxy.cfg server web1 172.25.254.10:80 check inter 2 fall 3 rise 5 weight 1 server web2 172.25.254.20:80 send-proxy check inter 2 fall 3 rise 5 weight 1 [root@haproxy ~]# systemctl restart haproxy.service webserver2上面的配置
[root@webserver2 ~]# vim /etc/nginx/nginx.conf 19 '"$proxy_protocol_addr"' 41 listen 80 proxy_protocol;七层ip透传
haproxy端配置
[root@haproxy ~]# systemctl restart haproxy.service server web1 172.25.254.10:80 check inter 2 fall 3 rise 5 weight 1 server web2 172.25.254.20:80 check inter 2 fall 3 rise 5 weight 1 [root@haproxy ~]# vim /etc/haproxy/haproxy.cfg webserver1和 webserver2上面的配置
[root@webserver1 ~]# vim /etc/httpd/conf/httpd.conf LogFormat "%{X-Forwarded-For}i %h %l %u %t \"%r\" %>s %b \"%{Referer}i\" \"%{User-Agent}i\"" combined [root@webserver2 ~]# vim /etc/nginx/nginx.conf 19 '"$proxy_protocol_addr"'
测试结果
ACL
访问控制列表ACL，Access Control Lists） 是一种基于包过滤的访问控制技术 它可以根据设定的条件对经过服务器传输的数据包进行过滤(条件匹配)即对接收到的报文进行匹配和过 滤，如源 IP 地址、目标 IP 地址、请求的 URL、HTTP 方法、请求头的值等进行条件判断。 通过使用 ACL，可以实现以下功能：
1. 基于请求的特征进行精细的流量控制，例如只允许来自特定 IP 范围的请求访问某些后端服务器。
2. 实现动静分离，将对静态资源（如图片、CSS、JavaScript 文件）的请求与对动态页面（如 PHP、Python 脚本生成的页面）的请求分开处理。
3. 根据不同的条件将请求路由到不同的后端服务器组。
4. 实施访问限制，例如阻止某些特定的请求方法或拒绝特定的用户代理。
ACL 的定义通常与 `use_backend` 规则结合使用，以根据 ACL 的匹配结果决定将请求发送到哪个后端服务器或采取何种操作。
ACL域名匹配
[root@haproxy ~]# vim /etc/haproxy/haproxy.cfg frontend testacl bind :80 mode http acl web_host hdr_dom(host) www.timinglee.org use_backend timinglee_host if web_host default_backend default_webserver backend timinglee_host mode http server web1 172.25.254.10:80 check weight 1 inter 3s fall 3 rise 5 backend default_webserver mode http server web2 172.25.254.20:80 check weight 1 inter 3s fall 3 rise 5ACL基于源IP或子网调度访问
将指定的源地址调度至指定的web服务器组。
[root@haproxy ~]# vim /etc/haproxy/haproxy.cfg frontend testacl bind :80 mode http acl ip_test src 172.25.254.1 192.168.0.0/24 use_backend timinglee_host if web_host default_backend default_webserver backend timinglee_host mode http server web1 172.25.254.10:80 check weight 1 inter 3s fall 3 rise 5 backend default_webserver mode http server web2 172.25.254.20:80 check weight 1 inter 3s fall 3 rise 5ACL基于源地址的访问控制
拒绝指定IP或者IP范围访问
[root@haproxy ~]# vim /etc/haproxy/haproxy.cfg frontend testacl bind :80 mode http acl web_host hdr_dom(host) www.timinglee.org acl ip_test src 172.25.254.1 192.168.0.0/24 use_backend timinglee_host if web_host default_backend default_webserver backend timinglee_host mode http server web1 172.25.254.10:80 check weight 1 inter 3s fall 3 rise 5 backend default_webserver mode http server web2 172.25.254.20:80 check weight 1 inter 3s fall 3 rise 5ACL匹配浏览器类型
匹配客户端浏览器，将不同类型的浏览器调动至不同的服务器组、 范例: 拒绝curl和wget的访问
[root@haproxy ~]# vim /etc/haproxy/haproxy.cfg frontend testacl bind :80 mode http acl user_agent_block hdr_sub(User-Agent) -i curl wget acl user_agent_redirect hdr_sub(User-Agent) -i Mozilla/5.0 http-request deny if user_agent_block redirect prefix https://www.baidu.com if user_agent_redirect default_backend default_webserver backend timinglee_host mode http server web1 172.25.254.10:80 check weight 1 inter 3s fall 3 rise 5 backend default_webserver mode http server web2 172.25.254.20:80 check weight 1 inter 3s fall 3 rise 5ACL基于文件后缀名实现动静分离
[root@haproxy ~]# vim /etc/haproxy/haproxy.cfg frontend test_acl bind *:80 mode http acl static path_end -i .html .jpg .png .css .js acl php path_end -i .php use_backend webcluster-host if php default_backend default_host backend webcluster-host mode http server web1 172.25.254.10:80 check inter 3 fall 3 rise 5 backend default_host mode http server web2 172.25.254.20:80 check inter 3 fall 3 rise 5
配置server端
yum install php -y vim /var/www/html/index.php <?php phpinfo(); ?>
测试结果
ACL-匹配访问路径实现动静分离
[root@haproxy ~]# vim /etc/haproxy/haproxy.cfg frontend test_acl bind *:80 mode http acl test path_sub -m sub test acl php path_sub -m sub php use_backend webcluster-host if php default_backend default_host backend webcluster-host mode http server web1 172.25.254.10:80 check inter 3 fall 3 rise 5 backend default_host mode http server web2 172.25.254.20:80 check inter 3 fall 3 rise 5
配置server端
[root@webserver1 ~]# mkdir -p /var/www/html/php [root@webserver1 ~]# cp /var/www/html/index.php /var/www/html/php/ [root@webserver2 ~]# mkdir /usr/share/nginx/html/test -p [root@webserver2 ~]# echo webserver2-20 > /usr/share/nginx/html/test/index.html 
测试结果
自定义HAProxy 错误界面
对指定的报错进行重定向，进行优雅的显示错误页面
使用errorfile和errorloc指令的两种方法，可以实现自定义各种错误页面
基于自定义的错误页面文件
#自定义错误页
errorfile<code><file>
<code>
#HTTP status code.支持200, 400, 403, 405, 408, 425, 429, 500, 502，503,504<file>
#包含完整HTTP响应头的错误页文件的绝对路径。 建议后缀".http"，以和一般的html文件相区分
#示例：
errorfile 503 /haproxy/errorpages/503page.http
实例：
一定要将文件写入default这个块里面
[root@haproxy ~]# vim /etc/haproxy/errorpage/503page.http HTTP/1.0 503 Service Unavailable Cache-Control: no-cache Connection: close Content-Type: text/html;charset=UTF-8 <html><body><h1>什么动物生气最安静</h1> 大猩猩！！ </body></html [root@haproxy ~]# vim /etc/haproxy/haproxy.cfg errorfile 503 /etc/haproxy/errorpage/503page.http
测试结果
基于http重定向错误页面
实例：
[root@haproxy ~]# vim /etc/haproxy/haproxy.cfg errorloc 503 https://www.baidu.com
测试结果
HAProxy 四层负载
针对除HTTP以外的TCP协议应用服务访问的应用场景
MySQL
Redis
Memcache
RabbitMQ
四层负载实例：
vim /etc/haproxy/haproxy.cfg listen webcluster bind *:3306 mode tcp balance static-rr server web1 172.25.254.10:80 check inter 2 fall 3 rise 5 server web2 172.25.254.20:80 check inter 2 fall 3 rise 5 
配置server端的mysql
[root@webserver1 ~]# vim /etc/my.cnf.d/mariadb-server.cnf
mysql MariaDB [(none)]> create user root@'%' identified by 'root'; MariaDB [(none)]> grant all on *.* to root@'%'; MariaDB [(none)]> select @@server_id; netstat -atnlupe | grep 3306 
HAProxy https 实现
haproxy可以实现https的证书安全,从用户到haproxy为https,从haproxy到后端服务器用http通信 但基于性能考虑,生产中证书都是在后端服务器比如nginx上实现
实例：
[root@haproxy ~]# mkdir -p /etc/haproxy/certs [root@haproxy ~]# openssl req -newkey rsa:2048 -nodes -sha256 -keyout /etc/haproxy/certs /test.org.key -x509 -days 365 -out /etc/haproxy/certs/test.org.crt [root@haproxy ~]# cat /etc/haproxy/certs/test.org.key /etc/haproxy/certs/test.org.crt > /etc/haproxy/certs/test.pem [root@haproxy ~]# vim /etc/haproxy/haproxy.cfg frontend test_acl bind *:80 mode http redirect scheme https if !{ ssl_fc } listen web-https bind *:443 ssl crt /etc/haproxy/certs/test.pem mode http balance roundrobin server web1 172.25.254.10:80 check inter 3 fall 3 rise 5 server web2 172.25.254.20:80 check inter 3 fall 3 rise 5 
测试结果
