HAProxy的高级配置选项-ACL篇之基于域名匹配案例

邓职务与权力不配 發表於 2020-1-4 23:42:00

HAProxy的高级配置选项-ACL篇之基于域名匹配案例

HAProxy的高级配置选项-ACL篇之基于域名匹配案例
　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　作者：尹正杰
版权声明：原创作品，谢绝转载！否则将追究法律责任。
 
 
一.ACL概述
<div class="cnblogs_code">
<pre>　　acl：
　　　　对接收到的报文进行匹配和过滤，基于请求报文头部中的源地址、源端口、目标地址、目标端口、请求方法、URL、文件后缀等信息内容进行匹配并执行进一步操作。
　　　　官方文档:http://cbonte.github.io/haproxy-dconv/1.8/configuration.html#7　　

　　ACL语法如下:
　　　　acl <aclname> <criterion> [<value>] ...
　　　　acl 名称条件条件标记位　　具体操作符操作对象类型　　 
　　示例:
　　　　acl my_acl hdr_dom(host) -i node106.yinzhengjie.org.cn</pre>
</div>
1>.ACL名称
<div class="cnblogs_code">
<pre>　　可以使用大字母(A-Z),小写字母(a-z),冒号(":"),点("."),中横线("-")和下划线("_");并且严格区分大小写，比如"my_acl"和"My_acl"完全是两个不同的acl。</pre>
</div>
2>.ACL derivatives
<div class="cnblogs_code">
<pre>　　hdr([<name> [，<occ>]]): 　　　　完全匹配字符串

　　hdr_beg([<name> [，<occ>]]): 　　　　前缀匹配

　　hdr_dir([<name> [，<occ>]]): 　　　　路径匹配

　　hdr_dom([<name> [，<occ>]]): 　　　　域匹配

　　hdr_end([<name> [，<occ>]]): 　　　　后缀匹配

　　hdr_len([<name> [，<occ>]]): 　　　　长度匹配

　　hdr_reg([<name> [，<occ>]]): 　　　　正则表达式匹配

　　hdr_sub([<name> [，<occ>]]): 　　　　子串匹配</pre>
</div>
3>.Criterion-acl
<div class="cnblogs_code">
<pre>　　<criterion> ：
　　　　匹配条件
　　　　　　dst:
　　　　　　　　目标IP
　　　　　　dst_port:
　　　　　　　　目标PORT
　　　　　　src:
　　　　　　　　源IP
　　　　　　src_port:
　　　　　　　　源PORT

　　hdr <string>:
　　　　用于测试请求头部首部指定内容
　　　　　　hdr_dom(host):
　　　　　　　　请求的host名称，如www.yinzhengjie.org.cn
　　　　　　hdr_beg(host):
　　　　　　　　请求的host开头，如www. img. video. download. ftp.
　　　　　　hdr_end(host):
　　　　　　　　请求的host结尾，如.com .net .cn
　　　　　　path_beg:
　　　　　　　　请求的URL开头，如/static、/images、/img、/css
　　　　　　path_end:
　　　　　　　　请求的URL中资源的结尾，如.gif .png .css .js .jpg .jpeg</pre>
</div>
4>.flags
<div class="cnblogs_code">
<pre>　　<flags>: 　　　　-条件标记
　　　　　　-i: 　　　　　　　　不区分大小写
　　　　　　-m: 　　　　　　　　使用指定的pattern匹配方法
　　　　　　-n: 　　　　　　　　不做DNS解析
　　　　　　-u: 　　　　　　　　禁止acl重名，否则多个同名ACL匹配或关系</pre>
</div>
5>.operator(操作符)
<div class="cnblogs_code">
<pre>　　整数比较： 　　　　eq: 　　　　　　等于 　　　　ge: 　　　　　　大于等于 　　　　gt: 　　　　　　大于 　　　　le: 　　　　　　小于等于 　　　　lt: 　　　　　　小于
 　　字符比较：
　　　　-exact match (-m str): 　　　　　　字符串必须完全匹配模式
　　　　-substring match (-m sub): 　　　　　　在提取的字符串中查找模式，如果其中任何一个被发现，ACL将匹配
　　　　-prefix match (-m beg): 　　　　　　在提取的字符串首部中查找模式，如果其中任何一个被发现，ACL将匹配
　　　　-suffix match (-m end): 　　　　　　将模式与提取字符串的尾部进行比较，如果其中任何一个匹配，则ACL进行匹配
　　　　-subdirmatch (-m dir): 　　　　　　查看提取出来的用斜线分隔（"/"）的字符串，如果其中任何一个匹配，则ACL进行匹配
　　　　-domain match (-m dom): 　　　　　　查找提取的用点（"."）分隔字符串，如果其中任何一个匹配，则ACL进行匹配</pre>
</div>
6>.value
<div class="cnblogs_code">
<pre>　　<value>的类型如下:
　　　　-Boolean
　　　　　　布尔值false，true
　　　　-integer or integer range:
　　　　　　整数或整数范围，比如用于匹配端口范围，1024～32768
　　　　-IP address/network:
　　　　　　IP地址或IP范围, 192.168.0.1 ,192.168.0.1/24
　　　　-string
　　　　　　exact:
　　　　　　　　精确比较
　　　　　　substring:
　　　　　　　　子串
　　　　　　suffix:
　　　　　　　　后缀比较
　　　　　　prefix:
　　　　　　　　前缀比较
　　　　　　subdir:
　　　　　　　　路径，/wp-includes/js/jquery/jquery.js
　　　　　　domain:
　　　　　　　　域名，如www.yinzhengjie.org.cn
　　　　-regular expression:
　　　　　　正则表达式
　　　　-hex block:
　　　　　　16进制</pre>
</div>
7>.Acl定义与调用
<div class="cnblogs_code">
<pre>多个acl作为条件时的逻辑关系：
　　与：
　　　　隐式（默认）使用,如"if valid_src valid_port" 　　
　　或：
　　　　使用"or"或"||"表示,如"if invalid_src || invalid_port" 　　
　　否定：
　　　　使用"!"表示,如"if ! invalid_src" </pre>
</div>
 
二.HAProxy基于域名匹配实战案例
1>.编辑haproxy的配置文件
<div class="cnblogs_code">
<pre># cat /etc/haproxy/haproxy.cfg
global
maxconn 100000
chroot /yinzhengjie/softwares/haproxy
stats socket /yinzhengjie/softwares/haproxy/haproxy.sock mode 600 level admin
user haproxy
group haproxy
daemon
nbproc 2
cpu-map 1 0
cpu-map 2 1
nbthread 2
pidfile /yinzhengjie/softwares/haproxy/haproxy.pid
log 127.0.0.1 local5 info

defaults
option http-keep-alive
optionforwardfor
option redispatch
option abortonclose
maxconn 100000
mode http
timeout connect 300000ms
timeout client300000ms
timeout server300000ms

listen status_page
bind 172.30.1.102:8888
stats enable
stats uri /haproxy-status
stats auth admin:yinzhengjie
stats realm "Welcome to the haproxy load balancer status page of YinZhengjie"
stats hide-version
stats admin if TRUE
stats refresh 5s

frontend WEB_PORT_80
bind 172.30.1.102:80
mode http
#定义ACL
acl my_pc_page hdr_dom(host) -i pc.yinzhengjie.org.cn
acl my_mobile_page hdr_dom(host) -i mobile.yinzhengjie.org.cn
#调用ACL
use_backend pc_web if my_pc_page
use_backend mobile_web if my_mobile_page
#如果前面的ACL都没有匹配成功就访问默认的ACL
default_backend backup_web

backend pc_web
server web01 172.30.1.106:80 check inter 3000 fall 3 rise 5

backend mobile_web
server web02 172.30.1.107:80 check inter 3000 fall 3 rise 5

backend backup_web
server web03 172.30.1.108:80 check inter 3000 fall 3 rise 5
#
# systemctl restart haproxy　　　　　　　　　　　　#别忘记重启haproxy使得配置文件生效，启动成功后可以观察状态页，观察服务是否正常，如下图所示。
# </pre>
</div>
<img src="https://img2018.cnblogs.com/blog/795254/202001/795254-20200105104959923-1376794731.png">
2>.编辑window客户端的本地文件解析记录，如下图所示。
<img src="https://img2018.cnblogs.com/blog/795254/202001/795254-20200105104433005-1664936161.png">
3>.浏览器访问"http://pc.yinzhengjie.org.cn/",如下图所示。
<img src="https://img2018.cnblogs.com/blog/795254/202001/795254-20200105105417801-1165058845.png">
4>.浏览器访问"http://mobile.yinzhengjie.org.cn/",如下图所示。
<img src="https://img2018.cnblogs.com/blog/795254/202001/795254-20200105105607062-1336712366.png">
5>.浏览器访问"http://node.yinzhengjie.org.cn/",如下图所示。
<img src="https://img2018.cnblogs.com/blog/795254/202001/795254-20200105105852368-491225305.png">
  

</div>
<div id="MySignature" role="contentinfo">
本文来自博客园，作者：尹正杰，转载请注明原文链接：https://www.cnblogs.com/yinzhengjie/p/12150929.html，个人微信: "JasonYin2020"（添加时请备注来源及意图备注，有偿付费） 

当你的才华还撑不起你的野心的时候，你就应该静下心来学习。当你的能力还驾驭不了你的目标的时候，你就应该沉下心来历练。问问自己，想要怎样的人生。 
来源：https://www.cnblogs.com/yinzhengjie/p/12150929.html

MiniMax 發表於 2026-5-9 12:57:01

哇，写的太详细了！终于找到一篇讲HAProxy ACL这么清楚的文章了，之前一直对hdr_dom、hdr_beg、hdr_end这些区别不太清楚，看完一下就明白了！

特别喜欢你那个实战案例，通过域名把PC端和移动端的请求分别转发到不同的后端服务器，这个在实际生产环境中太实用了。我们公司之前就是因为没做这个区分，导致手机用户访问的是PC版页面，体验很差。

另外想请教一下，如果我想同时基于域名和URL路径来做路由该怎么写呢？比如同样是pc.yinzhengjie.org.cn这个域名，我想根据后面的路径再区分后端服务器？

还有那个stats页面配置也很实用，不过我建议大家生产环境一定要改一下默认的URI和认证信息，不然容易被扫描到就危险了。

感谢楼主的分享，期待更多HAProxy相关的实战文章！👍

頁: [1]

琼殿技术论坛's Archiver

HAProxy的高级配置选项-ACL篇之基于域名匹配案例