tutum/haproxy

tutum/haproxy

镜像概述和主要用途

tutum/haproxy是一个HAProxy镜像，能够在链接的容器之间实现负载均衡。如果在Tutum环境中启动，当链接的集群成员重新部署、加入或离开时，该镜像会自动重新配置自身。

标签说明

注意：latest标签包含新功能，如虚拟主机、多SSL、多前端等；0.1标签是当前稳定版本，功能较少。

使用方法

基本使用

首先启动暴露80端口的应用容器：

bash
docker run -d --name web1 tutum/hello-world
docker run -d --name web2 tutum/hello-world

然后运行tutum/haproxy并链接到目标容器：

bash
docker run -d -p 80:80 --link web1:web1 --link web2:web2 tutum/haproxy

此时，tutum/haproxy容器将在80端口监听请求，并使用roundrobin（轮询）算法将请求转发到web1和web2后端。

容器与服务的区别

• 容器：Docker的基本构建块。
• 服务：Tutum和tutum/haproxy的基本构建块。

服务是一组具有相同功能的容器集合，通常使用相同参数创建的容器可视为一个服务。服务是负载均衡管理的理想概念，当服务扩缩容（改变容器数量）时，HAProxy会相应地平衡负载。

将容器归为同一服务的方法

1. 在Tutum中运行tutum/haproxy：在Tutum中设置链接时，会自动在服务之间建立链接，过程完全透明。
2. 在Tutum外运行tutum/haproxy：链接容器到tutum/haproxy时，链接别名至关重要。任何共享相同前缀且后跟“-/_”及整数的链接别名会被视为来自同一服务。例如：web-1和web-2属于服务web，app_1和app_2属于服务app，而app1和web2属于不同服务。

配置说明

HAProxy的全局和默认设置

此部分设置不可变，需重新部署HAProxy服务才能生效。

链接的应用服务中的设置

此处设置可覆盖HAProxy的全局设置，仅适用于链接的服务。在Tutum环境中，当服务重新部署、加入或离开HAProxy服务时，HAProxy会自动更新以应用更改。

更多信息请参考http://cbonte.github.io/haproxy-dconv/configuration-1.5.html%E3%80%82

虚拟主机和虚拟路径

虚拟主机和虚拟路径可通过环境变量VIRTUAL_HOST指定，其值为逗号分隔的URL列表，格式为[scheme://]domain[:port][/path]。

匹配示例

注意：基于VIRTUAL_HOST生成的ACL规则顺序是随机的。在HAProxy中，若宽范围规则（如*.example.com）排在窄范围规则（如web.example.com）之前，窄范围规则将永远不会生效。因此，若虚拟主机存在范围重叠，需使用VIRTUAL_HOST_WEIGHT手动设置ACL规则顺序，即给窄范围虚拟主机设置更高权重。

SSL终止

tutum/haproxy支持多证书SSL终止。对于需要SSL终止的应用，只需设置SSL_CERT和VIRTUAL_HOST，HAProxy会从链接环境中读取证书并配置SSL终止。

注意：若环境变量值包含“=”（SSL证书中常见），Docker 1.7.0以下版本会跳过该环境变量，因此多SSL终止仅在Docker 1.7.0+或Tutum环境中可用。

SSL终止启用条件

1. 至少设置一个SSL证书
2. VIRTUAL_HOST未设置，或设置为“https” scheme

设置SSL证书的方法

1. 在tutum/haproxy中设置DEFAULT_SSL_CERT
2. 在链接到HAProxy的应用服务中设置SSL_CERT和/或DEFAULT_SSL_CERT

SSL_CERT和DEFAULT_SSL_CERT的区别：SSL_CERT指定的多个证书存储为cert1.pem、cert2.pem等，而DEFAULT_SSL_CERT指定的证书始终存储为cert0.pem。HAProxy在无SNI匹配时使用cert0.pem作为默认证书。若提供多个DEFAULT_SSL_CERT，仅一个会存储为cert0.pem，其余会被丢弃。

生成自签名证书

证书是包含私钥（在前）和公证书（在后）的PEM文件，可通过以下脚本生成：

bash
openssl req -x509 -newkey rsa:2048 -keyout key.pem -out ca.pem -days 1080 -nodes -subj '/CN=*/O=My Company Name LTD./C=US'
cp key.pem cert.pem
cat ca.pem >> cert.pem

生成后，使用以下命令获取证书文本：

bash
awk 1 ORS='\\n' cert.pem

将输出复制并设置为SSL_CERT或DEFAULT_SSL_CERT的值。

亲和性和会话粘性

有三种设置亲和性和粘性会话的方法：

1. 在应用服务中设置BALANCE=source：HAProxy会对客户端IP地址进行哈希，确保同一IP始终定向到同一服务器。
2. 设置APPSESSION=<value>：使用应用会话确定客户端连接的服务器，例如：JSESSIONID len 52 timeout 3h。
3. 设置COOKIE=<value>：使用应用Cookie确定客户端连接的服务器，例如：SRV insert indirect nocache。

更多信息请参考http://cbonte.github.io/haproxy-dconv/configuration-1.5.html#4-appsession%E5%92%8Chttp://cbonte.github.io/haproxy-dconv/configuration-1.5.html#4-cookie%E3%80%82

TCP负载均衡

默认情况下，tutum/haproxy运行在http模式。若要链接的服务运行在tcp模式，可指定环境变量TCP_PORTS（逗号分隔的端口，如9000, 9001）。

示例1：仅TCP模式

bash
docker run --name app-1 --expose 9000 --expose 9001 -e TCP_PORTS="9000,9001" your_app
docker run --name app-2 --expose 9000 --expose 9001 -e TCP_PORTS="9000,9001" your_app
docker run --link app-1:app-1 --link app-2:app-2 -p 9000:9000 -p 9001:9001 tutum/haproxy

此时，HAProxy会在9000和9001端口分别对app-1和app-2进行TCP模式负载均衡。

示例2：同时支持TCP和HTTP模式

bash
docker run --name app-1 --expose 80 --expose 22 -e TCP_PORTS=22 your_app
docker run --name app-2 --expose 80 --expose 22 -e TCP_PORTS=22 your_app
docker run --link app-1:app-1 --link app-2:app-2 -p 80:80 -p 22:22 tutum/haproxy

此时，HAProxy在80端口使用HTTP模式，在22端口使用TCP模式进行负载均衡。

带SSL终止的TCP端口

在TCP_PORTS中，以/ssl结尾的端口（如2222/ssl）会启用SSL终止。

注意：

1. 可同时设置VIRTUAL_HOST和TCP_PORTS，以更好地控制HTTP模式。
2. TCP端口负载均衡适用于所有服务，若链接多个不同服务使用相同TCP_PORTS，tutum/haproxy会将它们视为同一服务。

WebSocket支持

有两种启用WebSocket支持的方法：

1. WebSocket基于HTTP协议启动，可通过虚拟主机指定ws或wss scheme，例如：-e VIRTUAL_HOST="ws://ws.example.com, wss://wss.example.com"
2. WebSocket本身是TCP连接，也可使用前述TCP负载均衡方法。

在Tutum中使用

通过Tutum启动要负载均衡的服务，然后启动负载均衡器：

1. 选择“Jumpstarts”→“Proxies”→选择tutum/haproxy
2. 在向导的“环境变量”步骤中，链接到之前创建的服务（链接名称不重要）
3. 添加“Full Access”API角色（允许HAProxy通过查询Tutum API动态更新）
4. 若使用tutumcli或stackfile，请将role设置为global

HAProxy会自动查询Tutum API获取服务容器的更新列表并重新配置，包括：

• 链接的应用服务中容器的启动/停止/终止
• 链接的应用服务的扩缩容/重新部署
• 向HAProxy添加新链接
• 从HAProxy移除旧链接

使用场景示例

场景1：Web应用暴露8080端口，代理监听80端口

bash
docker run -d --link webapp:webapp -p 80:80 tutum/haproxy

场景2：Web应用暴露8080端口及数据库端口8083/8086，代理仅路由8080端口

bash
docker run -d --link webapp:webapp -e EXCLUDE_PORTS=8083,8086 -p 80:80 tutum/haproxy

场景3：Web应用暴露8080端口