web-dev-qa-db-ja.com

SSLおよびスティッキーセッションを備えたHAProxy

SSLを使用するようにHAProxy（v1.5.1）を設定しようとしています。

なんとかそれを実現できましたが、ラウンドロビンの設定にいくつか問題があります。

スティックセッションが必要ですが、haproxyは（異なるブラウザーからの）すべてのセッションを同じノード（my.vm.2）、ただし他のノード（my.vm.1）も使用できます。そのため、ラウンドロビン設定が適切に機能していないようです。

これは現在の設定です。いくつかのヘルプ/アイデアをいただければ幸いです。 :)：

global
   debug
   stats socket /etc/haproxy/haproxysock level admin
   tune.ssl.default-dh-param 2048

defaults
   mode http
   balance roundrobin
   timeout connect 5s
   timeout queue   300s
   timeout client  300s
   timeout server  300s

frontend https_frontend
   bind *:8443
   mode tcp
   reqadd X-Forwarded-Proto:\ https
   default_backend my_backend


backend my_backend
   mode tcp
   stick-table type ip size 200k expire 30m
   stick on src
   default-server inter 1s
   server my.vm.1 my.vm.1:8443 check id 1 maxconn 500
   server my.vm.2 my.vm.2:8443 check id 2 maxconn 500
   option httpclose
   option redispatch
   retries 15

listen admin
   bind *:8081
   stats enable
   stats refresh 1s
sslhaproxysticky-sessionsround-robin
5
Ayelet

HAProxyですべてのSSL処理を行い、 proxy protocol （send-proxyおよびaccept-sslproxy）クライアント情報は、sslプロセッサからフロントエンド+バックエンドに渡されます。それは次のようになります：

listen ssl-proxy
    bind 1.2.3.4:443 ssl crt /etc/ssl/mycert.pem npn http/1.1
    mode tcp
    bind-process 2 3 4
    server http 127.0.0.1:80 send-proxy

frontend dev
    #Do whatever you want here since it is http
    mode http
    bind 1.2.3.4:80 name dev
    bind 127.0.0.1:80 accept-proxy name accept-sslproxy
    bind-process 1

    acl is_ssl dst_port 443
    reqadd X-Forwarded-Proto:\ https if is_ssl
    default_backend my_backend

backend my_backend
    mode http
    #Do whatever you want here since it is http
8
Kyle Brandt

スティッキーセッションはIPベースであるため、送信元IPアドレスは同じままであるため、異なるブラウザーは同じバックエンドに移動します。

2
Nathan C