云原生作业（haproxy）

1 负载均衡

1.1 什么是负载均衡

 1.2 为什么使用负载均衡

• Web服务器的动态水平扩展-->对用户无感知
• 增加业务并发访问及处理能力-->解决单服务器瓶颈问题
• 节约公网IP地址-->降低IT支出成本
• 隐藏内部服务器IP-->提高内部服务器安全性
• 配置简单-->固定格式的配置文件
• 功能丰富-->支持四层和七层，支持动态下线主机
• 性能较强-->并发数万甚至数十万

1.3 负载均衡类型

1.3.1 硬件

F5----美国F5网络公司https://f5.com/zh

Netscaler----美国思杰公司https://www.citrix.com.cn/products/citrix-adc/

1. 通过ip+port决定负载均衡的去向。
2. 对流量请求进行NAT处理，转发至后台服务器。
3. 记录tcp、udp流量分别是由哪台服务器处理，后续该请求连接的流量都通过该服务器处理。

 支持四层的软件:

• lvs：重量级四层负载均衡器。
• Nginx：轻量级四层负载均衡器，可缓存。（nginx四层是通过upstream模块）
• Haproxy：模拟四层转发。

1.3.3 七层负载均衡

1. 通过虚拟url或主机ip进行流量识别，根据应用层信息进行解析，决定是否需要进行负载均衡。
2. 代理后台服务器与客户端建立连接，如nginx可代理前后端，与前端客户端tcp连接，与后端服务器建立tcp连接

支持7层代理的软件：

• Nginx:基于http协议(nginx七层是通过proxy_pass)
• Haproxy:七层代理，会话保持、标记、路径转移等。

 1.3.4 四层和七层的区别

所谓的四到七层负载均衡，就是在对后台的服务器进行负载均衡时，依据四层的信息或七层的信息来决定怎么样转发流量

四层的负载均衡，就是通过发布三层的IP地址（VIP），然后加四层的端口号，来决定哪些流量需要做负载均衡，对需要处理的流量进行NAT处理，转发至后台服务器，并记录下这个TCP或者UDP的流量是由哪台服务器处理的，后续这个连接的所有流量都同样转发到同一台服务器处理

七层的负载均衡，就是在四层的基础上（没有四层是绝对不可能有七层的），再考虑应用层的特征,比如同一个Web服务器的负载均衡，除了根据VIP加80端口辨别是否需要处理的流量，还可根据七层的URL、浏览器类别、语言来决定是否要进行负载均衡。

1. 分层位置:四层负载均衡在传输层及以下，七层负载均衡在应用层及以下
2. 性能 :四层负载均衡架构无需解析报文消息内容，在网络吞吐量与处理能力上较高:七层可支持解析应用层报文消息内容，识别URL、Cookie、HTTP header等信息。、
3. 原理 :四层负载均衡是基于ip+port;七层是基于虚拟的URL或主机IP等。
4. 功能类比:四层负载均衡类似于路由器;七层类似于代理服务器。
5. 安全性:四层负载均衡无法识别DDoS攻击;七层可防御SYN Cookie/Flood攻击

 2 haproxy简介

HAProxy是法国开发者威利塔罗(Willy Tarreau) 在2000年使用C语言开发的一个开源软件是一款具备高并发(万级以上)、高性能的TCP和HTTP负载均衡器

支持基于cookie的持久性，自动故障切换，支持正则表达式及web状态统计

社区版与企业版对比

3  haproxy的服务信息

3.1 实验环境

client                   eth0: 172.25.254.111

haproxy               eth0:172.25.254.100       

RS1                     eth0:172.25.254.11

RS2                     eth0:172.25.254.22

###都关闭防火墙
systemctl disable --now firewalld.service###RS1和RS2安装nginx程序
dnf install nginx -y###haproxy安装haproxy程序
dnf install haproxy -y###测试
#RS1
[root@RS1 ~]# echo RS1 - 172.25.254.11 > /usr/share/nginx/html/index.html 
[root@RS1 ~]# systemctl start nginx.service
#RS2
[root@RS2 ~]# echo RS2 - 172.25.254.22 > /usr/share/nginx/html/index.html 
[root@RS2 ~]# systemctl start nginx.service
#haproxy
[root@haproxy ~]# curl 172.25.254.11
RS1 - 172.25.254.11
[root@haproxy ~]# curl 172.25.254.22
RS2 - 172.25.254.22

3.2 haproxy的基本配置信息

global
log 127.0.0.1 local2 #定义全局的syslog服务器；日志服务器需要开启UDP协议，最多可以定义两个chroot /var/lib/haproxy #锁定运行目录
pidfile /var/run/haproxy.pid #指定pid文件
maxconn 100000 #指定最大连接数
user haproxy #指定haproxy的运行用户
group haproxy #指定haproxy的运行组
daemon #指定haproxy以守护进程方式运行# turn on stats unix socket
stats socket /var/lib/haproxy/stats #指定haproxy的套接字文件
nbproc 2 #指定haproxy的work进程数量，默认是1个
cpu-map 1 0 #指定第一个work绑定第一个cpu核心
cpu-map 2 1 #指定第二个work绑定第二个cpu核心
nbthread 2 #指定haproxy的线程数量，默认每个进程一个线程，此参数与nbproc互斥
maxsslconn 100000 #每个haproxy进程ssl最大连接数,用于haproxy配置了证书的场景下
maxconnrate 100 #指定每个客户端每秒建立连接的最大数量

defaults
mode http #HAProxy实例使用的连接协议log global #指定日志地址和记录日志条目的syslog/rsyslog日志设备
#此处的 global表示使用 global配置段中设定的log值。option httplog #日志记录选项，httplog表示记录与 HTTP会话相关的各种属性值
#包括 HTTP请求、会话状态、连接数、源地址以及连接时间等option dontlognull #dontlognull表示不记录空会话连接日志
option http-server-close #等待客户端完整HTTP请求的时间，此处为等待10s。
option forwardfor except 127.0.0.0/8 #透传客户端真实IP至后端web服务器
#在apache配置文件中加入:<br>%{XForwarded-For}i后在webserver中看日志即可看到地址透传信息option redispatch #当server Id对应的服务器挂掉后，强制定向到其他健康的服务器，重新派发
option http-keep-alive #开启与客户端的会话保持retries 3 #连接后端服务器失败次数timeout http-request 10s #等待客户端请求完全被接收和处理的最长时间
timeout queue 1m #设置删除连接和客户端收到503或服务不可用等提示信息前的等待时间
timeout connect 120s #设置等待服务器连接成功的时间
timeout client 600s #设置允许客户端处于非活动状态，即既不发送数据也不接收数据的时间
timeout server 600s #设置服务器超时时间，即允许服务器处于既不接收也不发送数据的非活动时间
timeout http-keep-alive 60s #session 会话保持超时时间，此时间段内会转发到相同的后端服务器
timeout check 10s #指定后端服务器健康检查的超时时间maxconn 3000
default-server inter 1000 weight 3

bind：指定HAProxy的监听地址，可以是IPV4或IPV6，可以同时监听多个IP或端口，可同时用于listen字段中#格式：
bind [<address>]:<port_range> [, ...] [param*]
#注意：如果需要绑定在非本机的IP，需要开启内核参数：net.ipv4.ip_nonlocal_bind=1backlog <backlog> #针对所有server配置,当前端服务器的连接数达到上限后的后援队列长度，注意：不支持backend示例：
[root@haproxy ~]# vim /etc/haproxy/haproxy.cfg
...上面内容省略...
frontend lee-webserver-80
bind 172.25.254.100:80
mode http
use_backend lee-webserver-80-RS #调用backend的名称
...下面内容省略...

mode http|tcp #指定负载协议类型,和对应的frontend必须一致
option #配置选项
server #定义后端real server,必须指定IP和端口

#针对一个server配置
check #对指定real进行健康状态检查，如果不加此设置，默认不开启检查,只有check后面没有其它配置也可启用检查功能
#默认对相应的后端服务器IP和端口,利用TCP连接进行周期性健康性检查,注意必须指定端口才能实现健康性检查addr <IP> #可指定的健康状态监测IP，可以是专门的数据网段，减少业务网络的流量
port <num> #指定的健康状态监测端口
inter <num> #健康状态检查间隔时间，默认2000 ms
fall <num> #后端服务器从线上转为线下的检查的连续失效次数，默认为3
rise <num> #后端服务器从下线恢复上线的检查的连续有效次数，默认为2weight <weight> #默认为1，最大值为256，0(状态为蓝色)表示不参与负载均衡，但仍接受持久连接
backup #将后端服务器标记为备份状态,只在所有非备份主机down机时提供服务，类似Sorry Server
disabled #将后端服务器标记为不可用状态，即维护状态，除了持久模式
#将不再接受连接,状态为深黄色,优雅下线,不再接受新用户的请求
redirect prefix http://www.baidu.com/ #将请求临时(302)重定向至其它URL，只适用于http模式
maxconn <maxconn> #当前后端server的最大并发连接数示例：
backend lee-webserver-80-RS
mode http
server web1 192.168.0.101:80 check inter 3s fall 3 rise 5
server web2 192.168.0.102:80 check inter 3s fall 3 rise 5

#haproxy
[root@haproxy ~]# vim /etc/haproxy/haproxy.cfg
[root@haproxy ~]# cat /etc/haproxy/haproxy.cfg   ##上下文略过
frontend webclusterbind        *:80mode        httpbalance     roundrobinuse_backend webserver
backend webserverserver web1 172.25.254.11:80 check inters 3sserver web2 172.25.254.22:80 check inters 3sserver sorry 172.25.254.100:8080 backup    #当两台RS都挂了，转到该地址
[root@haproxy ~]# systemctl restart haproxy.service ###测试
#client
[root@client ~]# curl 172.25.254.100
RS1 - 172.25.254.11
[root@client ~]# curl 172.25.254.100
RS2 - 172.25.254.22

#haproxy
[root@haproxy ~]# vim /etc/haproxy/haproxy.cfg 
...略...balance static-rr
...略...
[root@haproxy ~]# systemctl restart haproxy.service #client
[root@client ~]# for i in {1..5}; do curl 172.25.254.100; done 
RS1 - 172.25.254.11
RS2 - 172.25.254.22
RS1 - 172.25.254.11
RS2 - 172.25.254.22
RS1 - 172.25.254.11

 示例：

#haproxy
[root@haproxy ~]# vim /etc/haproxy/haproxy.cfg balance first
[root@haproxy ~]# systemctl restart haproxy.service #client
[root@client ~]# for i in {1..5}; do curl 172.25.254.100; done 
RS1 - 172.25.254.11
RS1 - 172.25.254.11
RS1 - 172.25.254.11
RS1 - 172.25.254.11
RS1 - 172.25.254.11

 4.2 动态算法

• 基于后端服务器状态进行调度适当调整，

• 新请求将优先调度至当前负载较低的服务器

• 权重可以在haproxy运行时动态调整无需重启

 动态调整权重

echo "set weight webserver_80/webserver1 2" | socat stdio /var/lib/haproxy/haproxy.sock

4.2.2 leastconn

• leastconn加权的最少连接的动态
• 支持权重的运行时调整和慢启动，即:根据当前连接最少的后端服务器而非权重进行优先调度(新客户端连接)
• 比较适合长连接的场景使用，比如：MySQL等场景。

 4.3 其他算法

4.3.1 source

 一致性hash

 4.3.2 uri

• 基于对用户请求的URI的左半部分或整个uri做hash，再将hash结果对总权重进行取模后
• 根据最终结果将请求转发到后端指定服务器
• 适用于后端是缓存服务器场景
• 默认是静态算法，也可以通过hash-type指定map-based和consistent，来定义使用取模法还是一致性hash

#RS1
[root@RS1 ~]#  echo RS1 - 172.25.254.11 > /usr/share/nginx/html/index1.html 
[root@RS1 ~]# systemctl  start nginx.service 
#RS2
[root@RS2 ~]#  echo RS2 - 172.25.254.22 > /usr/share/nginx/html/index1.html 
[root@RS2 ~]# systemctl  start nginx.service 
#haproxy
[root@haproxy ~]# vim /etc/haproxy/haproxy.cfg balance uri[root@haproxy ~]# systemctl restart haproxy.service #client
[root@client ~]# curl 172.25.254.100/index1.html
RS1 - 172.25.254.11
[root@client ~]# curl 172.25.254.100/index1.html
RS2 - 172.25.254.22

#haproxy
[root@haproxy ~]# vim /etc/haproxy/haproxy.cfg 
listen webclusterbind *:80mode httpbalance url_param namehash-type consistentserver web1 172.25.254.11:80server web2 172.25.254.22:80[root@haproxy ~]# systemctl restart haproxy.service #client
[root@client ~]# curl 172.25.254.100/?name=111
RS1 - 172.25.254.11
[root@client ~]# curl 172.25.254.100/?name=111
RS1 - 172.25.254.11
[root@client ~]# curl 172.25.254.100/?name=111
RS1 - 172.25.254.11
[root@client ~]# curl 172.25.254.100/?name=233
RS2 - 172.25.254.22

 示例：

#haproxy
[root@haproxy ~]# vim /etc/haproxy/haproxy.cfg balance hdr(User-Agent)
[root@haproxy ~]# systemctl restart haproxy.service #client
[root@client ~]# curl -A 'lee'  172.25.254.100
RS2 - 172.25.254.22
[root@client ~]# curl -A 'lee'  172.25.254.100
RS2 - 172.25.254.22
[root@client ~]# curl -A 'waa'  172.25.254.100
RS1 - 172.25.254.11

5 高级功能及配置

cookie name [ rewrite | insert | prefix ][ indirect ] [ nocache ][ postonly ] [
preserve ][ httponly ] [ secure ][ domain ]* [ maxidle <idle> ][ maxlife ]name： #cookie 的 key名称，用于实现持久连接insert： #插入新的cookie,默认不插入cookieindirect： #如果客户端已经有cookie,则不会再发送cookie信息nocache： #当client和hapoxy之间有缓存服务器（如：CDN）时，不允许中间缓存器缓存cookie，
#因为这会导致很多经过同一个CDN的请求都发送到同一台后端服务器

#haproxy
[root@haproxy ~]# vim /etc/haproxy/haproxy.cfg 
listen webclusterbind *:80mode httpbalance roundrobincookie WEBCOOKIE insert nocache indirectserver web1 172.25.254.11:80  cookie cc1server web2 172.25.254.22:80  cookie cc2
[root@haproxy ~]# systemctl restart haproxy.service 
#windows浏览器访问

 5.2 HAProxy状态页

5.2.1 状态页配置项

stats enable #基于默认的参数启用stats pagestats hide-version #将状态页中haproxy版本隐藏stats refresh <delay> #设定自动刷新时间间隔，默认不自动刷新stats uri <prefix> #自定义stats page uri，默认值：/haproxy?statsstats auth <user>:<passwd> #认证时的账号和密码，可定义多个用户,每行指定一个用户
#默认：no authenticationstats admin { if | unless } <cond> #启用stats page中的管理功能

示例：

#haproxy
[root@haproxy ~]# vim /etc/haproxy/haproxy.cfg 
listen haproxystatusbind *:9999mode httpstats enablelog globalstats uri /statusstats auth lee:lee
[root@haproxy ~]# systemctl restart haproxy.service 

 5.3 IP透传

5.3.1 四层IP透传

示例:

#haproxy
[root@haproxy ~]# vim /etc/haproxy/haproxy.cfg listen webclusterbind *:80mode tcpbalance roundrobinserver web1 172.25.254.11:80 send-proxy server web2 172.25.254.22:80 send-proxy[root@haproxy ~]# systemctl restart haproxy.service #RS1和RS2
vim /etc/nginx/nginx.conf....省略....
http {log_format  main  '$remote_addr - $remote_user [$time_local] "$request" ''"$proxy_protocol_addr"''$status $body_bytes_sent "$http_referer" ''"$http_user_agent" "$http_x_forwarded_for"'
....省略....server {listen       80 proxy_protocol;listen       [::]:80;server_name  _;root         /usr/share/nginx/html;# Load configuration files for the default server block.include /etc/nginx/default.d/*.conf;error_page 404 /404.html;location = /404.html {}error_page 500 502 503 504 /50x.html;location = /50x.html {}}
...省略....systemctl  restart nginx.service#client[root@client ~]# curl 172.25.254.100#RS1
[root@RS1 ~]# tail -n 3 /var/log/nginx/access.log
172.25.254.100 - - [28/Jul/2025:18:42:55 +0800] "GET /nginx-logo.png HTTP/1.1" 200 368 "http://172.25.254.100/status" "Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/138.0.0.0 Safari/537.36 Edg/138.0.0.0" "172.25.254.1"
172.25.254.100 - - [28/Jul/2025:18:42:55 +0800] "GET /poweredby.png HTTP/1.1" 200 368 "http://172.25.254.100/status" "Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/138.0.0.0 Safari/537.36 Edg/138.0.0.0" "172.25.254.1"
172.25.254.100 - - [28/Jul/2025:19:06:58 +0800] "GET / HTTP/1.1" "172.25.254.111"200 20 "-" "curl/7.76.1" "-"

5.3.2 七层IP透传

option forwardfor [ except <network> ] [ header <name> ] [ if-none ]
[ except <network> ]：请求报请来自此处指定的网络时不予添加此首部，如haproxy自身所在网络
[ header <name> ]： 使用自定义的首部名称，而非“X-Forwarded-For"，示例：X-client
[ if-none ] 如果没有首部才添加首部，如果有使用默认值

#用acl来定义或声明一个acl
acl <aclname> <criterion> [flags] [operator] [<value>]
acl 名称 匹配规范 匹配模式 具体操作符 操作对象类型
#ACL名称，可以使用大字母A-Z、小写字母a-z、数字0-9、冒号：、点.、中横线和下划线，并且严格区分大小写，比如:my_acl和My_Acl就是两个完全不同的acl5.8.1.2 ACL-criterion

hdr string，提取在一个HTTP请求报文的首部
hdr（[<name> [，<occ>]]）：完全匹配字符串,header的指定信息，<occ> 表示在多值中使用的值的出
现次数
hdr_beg（[<name> [，<occ>]]）：前缀匹配，header中指定匹配内容的begin
hdr_end（[<name> [，<occ>]]）：后缀匹配，header中指定匹配内容end
hdr_dom（[<name> [，<occ>]]）：域匹配，header中的dom（host）
hdr_dir（[<name> [，<occ>]]）：路径匹配，header的uri路径
hdr_len（[<name> [，<occ>]]）：长度匹配，header的长度匹配
hdr_reg（[<name> [，<occ>]]）：正则表达式匹配，自定义表达式(regex)模糊匹配
hdr_sub（[<name> [，<occ>]]）：子串匹配，header中的uri模糊匹配 模糊匹配c 报文中a/b/c也会匹配base : string
#返回第一个主机头和请求的路径部分的连接，该请求从主机名开始，并在问号之前结束,对虚拟主机有用
<scheme>://<user>:<password>@#<host>:<port>/<path>;<params>#?<query>#<frag>
base : exact string match
base_beg : prefix match
base_dir : subdir match
base_dom : domain match
base_end : suffix match
base_len : length match
base_reg : regex match
base_sub : substring match
path : string
#提取请求的URL路径，该路径从第一个斜杠开始，并在问号之前结束（无主机部分）
<scheme>://<user>:<password>@<host>:<port>#/<path>;<params>#?<query>#<frag>
path : exact string match
path_beg : prefix match #请求的URL开头，如/static、/images、/img、/css
path_end : suffix match #请求的URL中资源的结尾，如 .gif .png .css .js .jpg .jpeg
path_dom : domain match
path_dir : subdir match
path_len : length match
path_reg : regex match
path_sub : substring matchurl : string
#提取请求中的整个URL。
url ：exact string match
url_beg : prefix match
url_dir : subdir match
url_dom : domain match
url_end : suffix match
url_len : length match
url_reg : regex match
url_sub : substring match
dst #目标IP
dst_port #目标PORT
src #源IP
src_port #源PORT
#七层协议
acl valid_method method GET HEAD
http-request deny if ! valid_method

-i 不区分大小写
-m 使用指定的正则表达式匹配方法
-n 不做DNS解析
-u 禁止acl重名，否则多个同名ACL匹配或关系

整数比较：eq、ge、gt、le、lt
字符比较：
- exact match (-m str) :字符串必须完全匹配模式
- substring match (-m sub) :在提取的字符串中查找模式，如果其中任何一个被发现，ACL将匹配
- prefix match (-m beg) :在提取的字符串首部中查找模式，如果其中任何一个被发现，ACL将匹配
- suffix match (-m end) :将模式与提取字符串的尾部进行比较，如果其中任何一个匹配，则ACL进行匹配
- subdir match (-m dir) :查看提取出来的用斜线分隔（“/"）的字符串，如其中任一个匹配，则ACL进行匹配
- domain match (-m dom) :查找提取的用点（“."）分隔字符串，如果其中任何一个匹配，则ACL进行匹配

The ACL engine can match these types against patterns of the following types :
- Boolean #布尔值
- integer or integer range #整数或整数范围，比如用于匹配端口范围
- IP address / network #IP地址或IP范围, 192.168.0.1 ,192.168.0.1/24
- string--> www.timinglee.org
exact #精确比较
substring #子串
suffix #后缀比较
prefix #前缀比较
subdir #路径， /wp-includes/js/jquery/jquery.js
domain #域名，www.timinglee.org
- regular expression #正则表达式
- hex block #16进制

与：隐式（默认）使用
或：使用“or" 或 “||"表示
否定：使用 "!" 表示

###原地址匹配
#haproxy
[root@haproxy ~]# vim /etc/haproxy/haproxy.cfg 
frontend wwebcluterbind *:80mode httpacl ip_test src 172.25.254.111/24use_backend serverb if ip_testdefault_backend servera
backend serveraserver web1 172.25.254.11:80
backend serverbserver web2 172.25.254.22:80
[root@haproxy ~]# systemctl restart haproxy.service #client
[root@client ~]# curl 172.25.254.100
RS2 - 172.25.254.22
[root@client ~]# curl 172.25.254.100
RS2 - 172.25.254.22
[root@client ~]# curl 172.25.254.100
RS2 - 172.25.254.22

 匹配访问路径实现动静分离

 5.5 自定义HAProxy 错误界面

对指定的报错进行重定向，进行优雅的显示错误页面

使用errorfile和errorloc指令的两种方法，可以实现自定义各种错误页面

#haproxy默认使用的错误错误页面
[root@haproxy ~]# rpm -ql haproxy24z-2.4.27-1.el7.zenetys.x86_64 | grep -E http$
/usr/share/haproxy/400.http
/usr/share/haproxy/403.http
/usr/share/haproxy/408.http
/usr/share/haproxy/500.http
/usr/share/haproxy/502.http
/usr/share/haproxy/503.http
/usr/share/haproxy/504.http

应用：

###基于自定义的错误页面文件
defaults...略...errorfile   503 /haproxy/errorpages/503page.http
#当发生503错误时调用503page.http自定义文件###基于http重定向错误页面
defaults
....略....errorloc 503 https://www.baidu.com
#当发生503错误时转到该域名

5.6 HAProxy 四层负载

#haproxy
[root@haproxy ~]# vim /etc/haproxy/haproxy.cfg
listen mysql_port
bind *:3306
mode tcp
balance leastconn
server mysql1 172.25.254.11:3306 check
server mysql2 172.25.254.22:3306 check#RS1 RS2同RS1
[root@RS1 ~]# dnf install mariadb-server -y
[root@RS1 ~]# vim /etc/my.cnf
[mysqld]
server-id=1[root@RS1 ~]# systemctl restart mariadb
[root@RS1 ~]# mysql -e "grant all on *.* to lee@'%' identified by 'lee';"#client
[root@client ~]# dnf install mariadb-server -y
[root@client ~]# mysql -ulee -plee -h 172.25.254.100 -e "show variables like 'hostname'"
+---------------+-------------------+
| Variable_name | Value             |
+---------------+-------------------+
| hostname      | RS1.timinglee.org |
+---------------+-------------------+
[root@client ~]# mysql -ulee -plee -h 172.25.254.100 -e "show variables like 'hostname'"
+---------------+-------------------+
| Variable_name | Value             |
+---------------+-------------------+
| hostname      | RS2.timinglee.org |
+---------------+-------------------+

#haproxy
[root@haproxy ~]# mkdir /etc/haproxy/
[root@haproxy ~]# openssl req -newkey rsa:2048 -nodes -sha256 -keyout /etc/haproxy/certs/timinglee.org.key -x509 -days 365 -out /etc/haproxy/certs/timinglee.org.crt[root@haproxy certs]# vim /etc/haproxy/haproxy.cfg 
frontend wwebcluterbind *:80mode httpbalance roundrobinredirect scheme https if !{ ssl_fc } #全站加密use_backend servera
backend serveraserver web1 172.25.254.11:80server web2 172.25.254.22:80frontend webserver-httpsbind *:443 ssl crt /etc/haproxy/certs/timinglee.pemmode httpuse_backend webserver
backend webserver    balance roundrobinserver web1 172.25.254.11:80 check inter 3s fall 3 rise 5server web2 172.25.254.22:80 check inter 3s fall 3 rise 5[root@haproxy certs]# systemctl restart haproxy.service