foboss Jan 4 2015 at 11:06

Получаем IP-адреса HTTPS-клиентов с HAProxy (frontend) на Nginx (backend) в режимах HTTP и TCP-балансировки

3 min

58K

Nginx*

+27

Comments 14

AgentSIB Jan 4 2015 at 12:36

Как вовремя! Спасибо :)

foboss Jan 4 2015 at 14:04

Всегда пожалуйста :)

Bodik Jan 4 2015 at 15:53

А какая у вас схема кластера? Интересно один ли балансировщик или используется два (три) сервера с HAProxy? И как они перехватывают управление?

YourChief Jan 4 2015 at 19:12

А можно просто использовать LVS (linux virtual server) в режиме DR (direct routing) и не нести накладных расходов в юзерспейсе и не иметь таких проблем вообще — адрес будет оригинальный на nginx-е.

YourChief Jan 4 2015 at 19:16

На хабре рассматривалось:
habrahabr.ru/post/104621/ by divanikus

foboss Jan 4 2015 at 23:57

Можно и так конечно. Однако следует помнить, что haproxy довольно богат в функциональном плане и умеет еще массу полезных вещей, например проверять состояние backend'a при помощи кастомизируемых проверок, маршрутизировать через один ip разные домены при использовании TLS и т.д.

J_o_k_e_R Jan 5 2015 at 01:47

Правильно ли я понимаю, что способ маршрутизации на 4 уровне производительнее, но дает меньшую гибкость и работает не со всеми бэкэндами?

foboss Jan 5 2015 at 08:52

Не совсем так. В статье я показал как можно воспользоваться расширением proxy protocol, если frontend и backend его поддерживают. Без proxy protocol TCP-балансировку можно настроить на любой tcp-сервис, будь то FTP, IMAP, SQL и т.п.

И, пожалуй следует отметить, что в HAProxy так же можно использовать смешанную (http/tcp) маршрутизацию и балансировку [*]:

frontend mixed_frontend
	bind :80
	mode tcp
	option tcplog
	tcp-request inspect-delay 5s
	tcp-request content accept if HTTP
	use_backend http_backend if HTTP
	default_backend tcp_backend

   backend tcp_backend
        # tcp-only config

   backend http_backend
	# http-only config
	mode http

Таким образом можно, к примеру, расположить на 80 порту одновременно и веб-сервер и сервер SSH.

rekby Jan 6 2015 at 12:49

Интересная штука, надо будет попробовать.

unwrecker Jan 16 2015 at 02:07

А с HTTP протоколом оно действительно работать не должно, или я какой-то глюк словил?

nginx ругался ошибкой 400 при пустых логах. Отключаю send-proxy или перевожу haproxy в http режим — всё ок.

foboss Jan 16 2015 at 08:05

В Nginx обычно помогает увеличить уровень логированная до Debug.

Так же очень важно, чтобы одновременно с send-proxy на HAProxy был включен proxy_protocol на Nginx.

unwrecker Jan 16 2015 at 10:28

Попробую, но даже в access_log ничего не писалось, а там уровней логирования нет, насколько я знаю.

Включено было с обеих сторон естественно. Для HTTPS части сервера описанный тут метод у меня замечательно заработал. Хотел его же для HTTP применить.

foboss Jan 16 2015 at 16:34

Вот тут описывается схожий случай, но причину ошибочного поведения так и не нашли:
trac.nginx.org/nginx/ticket/650

lavelas Feb 8 2015 at 17:04

Жаль, что Tomcat не понимает proxy protocol. Ищу возможность балансировки через tcp mode для Tomcat. Используется проприетарный протокол.
Пока все тщетно