Haproxy的ACL配置及案例

最新推荐文章于 2025-02-25 14:00:22 发布
原创 最新推荐文章于 2025-02-25 14:00:22 发布 · 2.1k 阅读 · 4 ·
CC 4.0 BY-SA版权
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
文章标签：

#服务器 #运维 #haproxy #linux

本文详细介绍了如何使用Haproxy的ACL功能进行访问控制，包括基于域名、源IP、源地址、文件后缀名和URL路径的匹配策略，以及配置错误页面和实现HTTP重定向。通过示例展示了ACL在域名调度、动静分离、访问控制和故障处理中的应用。

1.  ACL：访问控制列表（ACL，Access Control Lists）是一种基于包过滤的访问控制技术，它可以根据设定的条件对经过服务器传输的数据包进行过滤(条件匹配)，即对接收到的报文进行匹配和过滤，基于请求报文头部中的源地址、源端口、目标地址、目标端口、请求方法、URL、文件后缀等信息内容进行匹配并执行进一步操作，比如允许其通过或丢弃。

2.  Haproxy中ACL的配置语法及参数：

acl语法：
acl    <aclname>      <criterion>  [flags]  [operator]  [<value>]
acl 该条acl规则的名称    匹配规范   匹配模式  具体操作符  操作对象类型

3.  环境规划：

主机名主机地址角色
node1192.168.188.11负载均衡调度器
node2192.168.188.12后端服务器1
node3192.168.188.13后端服务器2
node4192.168.188.14测试服务器

4.  ACL示例--域名匹配：

        1>.  配置Haproxy配置文件，这里使用子配置文件的方式配置：

[root@node1 ~]# cd /etc/haproxy/conf.d/

[root@node1 conf.d]# vim acltest1.cfg

frontend acltest1  ##前端配置
  bind :80
  mode http
  log global

###########定义acl规则#########
  acl domacl_one hdr_dom(host) -i xian.yunjisuan.com
  acl domacl_two hdr_dom(host) -i chengdu.yunjisuan.com

##########调用acl规则#########
  use_backend domcalone_host    if domacl_one
  use_backend domcaltwo_host    if domacl_two
  default_backend domcalone_host

############配置后端##########
backend domcalone_host
  mode http
  server web1 192.168.188.12:80 check

backend domcaltwo_host
  mode http
  server web2 192.168.188.13:80 check

##重启haproxy
[root@node1 conf.d]# systemctl restart haproxy.service

解析配置：1.  当访问域名为" xian.yunjisuan.com "的主机时，会匹配到" domacl_one "该条acl规则；如果该条acl规则成立，则调用名为" domcalone_host "的后端配置。

                  2.  当访问域名为" chengdu.yunjisuan.com "的主机时，会匹配到" domacl_two "该条acl规则；如果该条acl规则成立，则调用名为" domcaltwo_host "的后端配置。

                  3.  如果不满足以上两条acl，则默认调用名为" domcaltwo_host "的后端配置。

        2>.  配置windows的域名解析：

在" C:\Windows\System32\drivers\etc\hosts "中添加域名解析"192.168.188.11 xian.yunjisuan.com chengdu.yunjisuan.com"。

        3>.  配置后端访问页面，node2和node3配置一致：

[root@node2 ~]# yum install httpd -y

[root@node2 ~]# echo "`hostname -I`" > /var/www/html/index.html

[root@node2 ~]# systemctl start httpd

        4>.  通过浏览器访问，测试haproxy acl是否配置成功：

 

 

5.   ACL示例--基于源IP或子网调度访问：

        1>.  配置Haproxy配置文件，这里使用子配置文件的方式配置：

[root@node1 conf.d]# vim acltest2.cfg

frontend acltest2
  bind :80
  mode http
  log global

########acl set########
  acl domacl1 hdr_dom(host) -i xian.yunjisuan.com
  acl domacl2 hdr_dom(host) -i chengdu.yunjisuan.com
  acl srcacl src 192.168.188.0/24

########acl host#######
  use_backend backend_one if srcacl
  use_backend backend_one if domacl1
  use_backend backend_two if domacl2

######backend host#####
backend backend_one
  mode http
  server web1 192.168.188.12:80 check

backend backend_two
  mode http
  server web2 192.168.188.13:80 check

解析配置：1.  如果是通过源IP为" srcacl "该条acl规则中的网段访问的，就调用名为" backend_one "的后端配置，该条配置会优先生效。

                  2.  当访问域名为" xian.yunjisuan.com "的主机时，会匹配到" domacl1 "该条acl规则；如果该条acl规则成立，则调用名为" backend_one "的后端配置。

                  3.  当访问域名为" chengdu.yunjisuan.com "的主机时，会匹配到" domacl2 "该条acl规则；如果该条acl规则成立，则调用名为" backend_two"的后端配置。

        2>.  通过浏览器访问，测试haproxy acl是否配置成功：

 

 

 

 6.  ACL示例--源地址的访问控制：

        1>.  配置Haproxy配置文件，这里使用子配置文件的方式配置：

[root@node1 conf.d]# vim acltest3.cfg

frontend acltest3
  bind :80
  mode http
  log global

#######acl set#######
  acl deny_acl src 192.168.188.11/24  ##拒绝指定ip或者指定网段访问

#######acl host######
  http-request deny if deny_acl  ##定义拒绝访问的acl规则的语法
  default_backend default1_host

#####backend hosts###
backend default1_host
  mode http
  server web1 192.168.188.12:80 check

backend default2_host
  mode http
  server web2 192.168.188.13:80 check

配置解析：1.  如果访问的源地址是" deny_acl "的acl规则，就拒绝其访问。

                  2.  如果没有匹配的acl规则，就匹配" default1_host "的后端配置。

拒绝访问的acl规则的语法：" http-request  deny  ACL调用方式  ACL规则名称 "。

        2>.  通过浏览器访问，测试haproxy acl是否配置成功：

7.  ACL示例 -- 基于文件后缀名实现动静分离：

        1>.  配置Haproxy配置文件，这里使用子配置文件的方式配置：

[root@node1 conf.d]# vim acltest4.cfg 

frontend acltest4
  bind :80
  mode http
  log global

#####acl set#####
  acl static_page path_end .jpg .jpeg .png .gif .html
  acl update_page path_end .php

#####acl host####
  use_backend static_host if static_page
  use_backend update_host if update_page
  default_backend update_host

###backend hosts##
backend static_host
  mode http
  server web1 192.168.188.12:80 check

backend update_host
  mode http
  server web2 192.168.188.13:80 check

配置解析：1.  如果访问的请求的URL路径的后缀名为" .jpg .jpeg .png .gif .html "，就匹配名为" static_page "的acl规则，如果条件成立，则调用名为" static_host "的后端配置，即静态配置。

                  2.  如果访问的请求的URL路径的后缀名为" .php "，就匹配名为" update_page "的acl规则，如果条件成立，则调用名为" update_host "的后端配置，即动态配置。

                  3.  如果没有匹配的acl规则，则默认调用名为" update_host "的后端配置。例如：如果访问192.168.188.11/test.jsp，就相当于访问192.168.188.13/test.jsp。

        2>.  配置后端服务器页面：

##这里就通过简单的页面分别代替静态页面和动态页面
[root@node2 ~]# echo "this is static page" > /var/www/html/test.html

[root@node3 ~]# echo "this is update page" > /var/www/html/test.php

        3>.  通过浏览器访问，测试haproxy acl是否配置成功：

 8.  ACL -- 匹配访问路径实现动静分离：

         1>.  配置Haproxy配置文件，这里使用子配置文件的方式配置：

[root@node1 conf.d]# vim acltest5.cfg

frontend  acltest5
  bind :80
  mode http
  log global

#############acl set############
  acl static_page path_beg -i /static
  acl update_page path_beg -i /update

#############acl host##########
  use_backend static_hosts      if static_page
  use_backend update_hosts      if update_page
  default_backend update_hosts

#############backend hosts######
backend static_hosts
  mode http
  server web1 192.168.188.12:80 check

backend update_hosts
  mode http
  server web1 192.168.188.13:80 check

配置解析：1.  如果请求的URL以" /static "开头，则匹配名为" static_page "的ACL规则，调用名为" static_hosts "的后端配置，访问定义的后端服务器的http://192.168.188.12/static。

                  2.  如果请求的URL以" /update "开头，则匹配名为" update_page "的ACL规则，调用名为" update_hosts "的后端配置，访问定义的后端服务器的http://192.168.188.13/update。

                  3.  如果没有匹配的ACL规则，则默认调用名为" update_hosts "的后端配置。

        2>.  后端访问页面配置：

[root@node2 ~]# mkdir /var/www/html/static/

[root@node2 ~]# echo "static_page" > /var/www/html/static/index.html

[root@node3 ~]# mkdir /var/www/html/update/

[root@node3 ~]# echo "update_page" > /var/www/html/update/index.html

        3>.  通过浏览器访问，测试haproxy acl是否配置成功：

 9.  自定义Haproxy的错误页面：

[root@node1 ~]# vim /etc/haproxy/haproxy.cfg

defaults
.......
##errorfile  错误状态码  展示的错误页面
errorfile   503     /usr/local/haproxy/html/503.http
.......

##配置错误页面：
[root@node1 ~]# mkdir /usr/local/haproxy/html

[root@node1 ~]# vim 503.http
HTTP/1.1 503 Service Unavailable
Content-Type:text/html;charset=utf-8

<!DOCTYPE html>
<html lang="en">
<head>
<meta charset="UTF-8">
<title>报错页面</title>
</head>
<body>
<center><h1>网站维护中......请稍侯再试</h1></center>
<center><h2>联系电话：400-123-4567</h2></center>
<center><h3>503 Service Unavailable</h3></center>
</body>

##重启haproxy
[root@node1 ~]# systemctl stop haproxy.service

模拟503异常，将两个后端服务器节点的服务全部停止。

[root@node2 ~]# systemctl stop httpd.service

[root@node3 ~]# systemctl stop httpd.service

 通过浏览器再次访问负载调度器：

10.  配置基于http的重定向：

        1>.  配置文件配置内容：

[root@node1 ~]# vim /erc/haproxy/haproxy.cfg

defaults
........
##errorloc  错误状态码  要转发到的地址
errorloc   503     http://192.168.188.14/error_page/503.html
........

        2>.  转发的页面配置：

[root@node4 ~]# mkdir /var/www/html/error_page

[root@node4 ~]# vim /var/www/html/error_page/503.html

<!DOCTYPE html>
<html lang="en">
<head>
<title>报错页面</title>
</head>
<body>
<center><h1>网站维护中......请稍侯再试</h1></center>
<center><h2>联系电话：400-123-4567</h2></center>
<center><h3>503 Service Unavailable</h3></center>
</body>

        3>.  模拟503异常，将两个后端服务器节点的服务全部停止:

[root@node2 ~]# systemctl stop httpd.service

[root@node3 ~]# systemctl stop httpd.service

        4>.   通过浏览器再次访问负载调度器：

 发现当访问192.168.188.11时，已经发生了转发。

2、haproxy安装配置
xuebo1129927648的博客
06-02 247
在全局配置中定义日志格式：bash。
HAproxy动静分离ACL书写规则，敢说全网较全
北海牧野
03-19 912
HAproxy ACL书写规则 通过ACL控制列表，实现基于 HAproxy的只能负载均衡系统。 ACL主要完成功能：2种 1、通过设置的AC规则检查客户端请求是否合法，如果符合ACL规则要求，则进行放行 2、符合的ACL规则要求的请求将被提交到后端的backend服务器集群，进行实现基于ACL的动静分离负载均衡。 ACL规则配置位置 在 frontend 前端虚拟服务器中写入 ACL规则...
HAProxy的ACL应用与自定义HAProxy错误界面
最新发布
Starry__Sky222的博客
02-25 1202
ACL基础  ACL配置选项 ACL-Name ACL-criterion ACL-flags ACL-operator ACL-value ACL调用方式 ACL案例 ACL示例-域名匹配 ACL示例-基于源IP或子网调度访问 ACL示例-基于源地址的访问控制 ACL示例-匹配浏览器类型 ACL示例-基于文件后缀名实现动静分离 ACL-匹配访问路径实现动静分离 ACL示例-预定义ACL使用 预定义ACL使用 自定义HAProxy错误界面 基于错误页面文件 基于http重定向
HAProxy（2）——acl访问控制、动静分离、读写分离、haproxy+keepalived实现高可用
qq_45225437的博客
08-10 979
文章目录一、ACL1. acl概述2. acl配置2.1 基于IP地址的访问控制2.2 七层请求的访问控制2.3 动静分离2.4 读写分离 一、ACL 1. acl概述         haproxy的ACL用于实现基于请求报文的首部、响应报文的内容或其他的环境状态信息来做出转发决策，这大大增加了其配置弹性。其配置法则一般分为两部，首先定义ACL，既定义一个测试条件，而后在条件得到满足时执行某特定动作，如阻止访问或者转发至某特定
高并发系统限流常用方法攻略
Brooks Lv
06-29 1203
限制系统的输入、输出流量，保证系统稳定运行。
HAProxy常用配置介绍，ACL详解
wolf
07-14 3975
1、HAProxy简介 HAProxy 是一款高性能TCP/HTTP 反向代理负载均衡服务器，具有如下功能： 根据静态分配的cookies完成HTTP请求转发 在多个服务器间实现负载均衡，并且根据HTTP cookies 实现会话粘性 主备服务器切换 接受访问特定端口实现服务监控 实现平滑关闭服务，不中断已建立连接的请求响应，拒绝新的请求 在请求或响应
HAproxy配置（三）--ACL
xiaochenwj1995的博客
05-07 634
一、 HAproxy的acl简介 访问控制列表（ACL）的使用提供了一种灵活的解决方案，可以执行内容切换，并且通常根据从请求，响应或任何环境状态中提取的内容来做出决定。 acl <aclname> <criterion> [flags] [operator] [<value>] ... <aclname>：ACL names must be f...
Haproxy的ACL介绍及应用实例
ouqisheng的博客
08-11 1058
访问控制列表ACL，Access Control Lists） 是一种基于包过滤的访问控制技术 它可以根据设定的条件对经过服务器传输的数据包进行过滤(条件匹配)即对接收到的报文进行匹配和过 滤，基于请求报文头部中的源地址、源端口、目标地址、目标端口、请求方法、URL、文件后缀等信息内 容进行匹配并执行进一步操作，比如允许其通过或丢弃。
Haproxy 的 ACL 规则及实战案例
Xucf1
01-24 5304
文章目录一、ACL 规则1.概述2.主要功能3.语法二、Haproxy 实现智能负载均衡1.实验环境2.配置 Apache 服务器3.基于地址的访问控制4.基于访问文件的控制与重定向5.实现动静分离功能的智能负载均衡 一、ACL 规则 1.概述 比起使用 LVS 做负载均衡，Haproxy 能提供更加强大的功能 因为 Haproxy 支持 ACL 规则，用于定义三层到七层的规则来匹配一些特殊的请求，实现基于请求报文首部、相应报文内容或者是一些其他状态信息，从而根据需要进行不同的策略转发响应 2.主要功
haproxy之ACL
weixin_68398469的博客
08-11 1607
当服务器down机的时候会出现以下界面，这样会显得整个界面及其不优雅对指定的报错进行重定向，进行优雅的显示错误页面实现以下的效果4.1 自定义页面内容（errorfil）自定义页面内容我是你爹 Service Unavailable将 web1 服务器手动down机浏览器访问就可出现以下自定义的内容了四层负载均衡器（Layer 4 Load Balancer）工作在网络传输层（TCP/UDP 层），它根据 IP 地址和端口号进行负载均衡。
HAProxy配置文件详解和ACL功能.docx
06-27
haproxy几乎每个大版本都提供了官方手册(内容几乎都相同)，手册非常详细。proxy的灵魂在于配置文件，配置文件重点在于前端(frontend)和后端(backend)的定制。全局选项(global)的配置将默认提供的稍微修改下即可。可以使用haproxy命令行检查配置文件语法是否正确。
HAproxy负载均衡-ACL篇
weixin_33743703的博客
06-28 631
 ACL定制法则：     开放策略：拒绝所有，只开放已知     拒绝策略：允许所有，只拒绝某些事实上实现安全策略，无非也就是以上两种方法 redirect参考：http://cbonte.github.io/haproxy-dconv/configuration-1.4.html#4-redirect如果符合某种特定条件，则返回某种新的前缀aclclear         dst_port 8...
haproxy ACL
qq_36801585的博客
03-31 1231
haproxy ACL ​ 访问控制列表（ACL，Access Control Lists）是一种基于包过滤的访问控制技术，它可以根据设定的条件对经过服务器传输的数据包进行过滤(条件匹配)，即对接收到的报文进行匹配和过滤，基于请求报文头部中的源地址、源端口、目标地址、目标端口、请求方法、URL、文件后缀等信息内容进行匹配并执行进一步操作，允许其通过或丢弃。 文档 1. ACL配置选项 acl ...
haproxy4-acl配置
weixin_30458043的博客
04-29 260
访问控制设定： 匹配后可进行那些操作： 　　Use _backend ： 当符合条件时使用特定的backend后端， 　　　　Use_backend <backend> [{if | unless} <condition>] 　　Block 阻塞 　　　　Block {if | unless} <condition> ...
HAProxy系列—ACL详解
此博客已停用，博文会逐渐转移到新地址，http://blog.youkuaiyun.com/liupeifeng3514
11-27 1254
HAProxy常用配置介绍，ACL详解
haproxy 配置文件详解 之 ACL 智能负载均衡
weixin_30698297的博客
05-29 245
　　由于HAProxy 可以工作在七层模型下， 因此，要实现 HAProxy 的强大功能，一定要使用强大灵活的ACL 规则，通过ACL 规则可以实现基于HAProxy 的智能负载均衡系统。 　　HAProxy 通过ACL 规则完成两种主要的功能，分别是： 　　1） 通过设置的ACL 规则检查客户端请求是否合法。如果符合ACL 规则要求，那么就将放行，反正，如果不符合规则，则直接中断请求。 　...
Linux运维之HAProxy实现负载均衡（日志、监控、acl访问控制的配置）
qq_41830712的博客
04-23 853
一、haproxy是什么？ HAProxy是一个使用C语言编写的自由及开放源代码软件，其提供高可用性、负载均衡，以及基于TCP和HTTP的应用程序代理。 HAProxy特别适用于那些负载特大的web站点，这些站点通常又需要会话保持或七层处理。 HAProxy运行在当前的硬件上，完全可以支持数以万计的并发连接。并且它的运行模式使得它可以很简单安全的整合进您当前的架构中， 同时可以保护你的web服务器...
Haproxy ACL规则
bjgaocp的博客
03-10 644
vim /usr/local/haproxy/conf/haproxy.conf frontend www01 bind 10.125.192.100:80 #1)下面两行实现301跳转 #需求1.aaa.com------&gt;nginx.aaa.com (301跳转) #（short_dom为自定义名称，hdr函数包含Host -i(不区分大小写)匹配aaa.com acl short_...
评论
成就一亿技术人!
拼手气红包6.0元
还能输入1000个字符
 
红包 添加红包
表情包 插入表情
表情包 代码片
 条评论被折叠 查看
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值