ການປ່ອຍຕົວດຸ່ນດ່ຽງ HTTP/TCP HAProxy 2.0

ຈັດພີມມາ ການປ່ອຍຕົວດຸ່ນດ່ຽງການໂຫຼດ HA Proxy 2.0, ເຊິ່ງຊ່ວຍໃຫ້ທ່ານສາມາດແຈກຢາຍການຈາລະຈອນ HTTP ແລະການຮ້ອງຂໍ TCP arbitrary ລະຫວ່າງກຸ່ມຂອງເຄື່ອງແມ່ຂ່າຍ, ໂດຍຄໍານຶງເຖິງປັດໃຈຈໍານວນຫຼາຍ (ຕົວຢ່າງເຊັ່ນ, ມັນກວດສອບການມີເຄື່ອງແມ່ຂ່າຍ, ປະເມີນລະດັບການໂຫຼດ, ມີມາດຕະການຕ້ານ DDoS) ແລະປະຕິບັດການກັ່ນຕອງຂໍ້ມູນຕົ້ນຕໍ (. ຕົວຢ່າງເຊັ່ນ, ທ່ານສາມາດແຍກສ່ວນຫົວ HTTP, ການກັ່ນຕອງການສົ່ງຕໍ່ຕົວກໍານົດການສອບຖາມທີ່ບໍ່ຖືກຕ້ອງ, ຕັນ SQL ແລະ XSS ແທນ, ເຊື່ອມຕໍ່ຕົວແທນການປຸງແຕ່ງເນື້ອຫາ). HAProxy ຍັງສາມາດ ນໍາໃຊ້ ເພື່ອປະສານງານການໂຕ້ຕອບຂອງອົງປະກອບໃນລະບົບໂດຍອີງໃສ່ສະຖາປັດຕະຍະກໍາຈຸລະພາກ. ລະຫັດໂຄງການແມ່ນຂຽນເປັນ C ແລະ ສະຫນອງໃຫ້ ອະນຸຍາດພາຍໃຕ້ GPLv2. ໂຄງການດັ່ງກ່າວໄດ້ຖືກນໍາໃຊ້ຢູ່ໃນເວັບໄຊທ໌ຂະຫນາດໃຫຍ່ຈໍານວນຫຼາຍ, ລວມທັງ Airbnb, Alibaba, GitHub, Imgur, Instagram, Reddit, StackOverflow, Tumblr, Twitter ແລະ Vimeo.

ຄຸນ​ນະ​ສົມ​ບັດ​ການ​ປ່ອຍ​ທີ່​ສໍາ​ຄັນ​:

• API ໃໝ່ໄດ້ນຳສະເໜີ ແຜນການຂໍ້ມູນ, ເຊິ່ງອະນຸຍາດໃຫ້ທ່ານສາມາດຈັດການການຕັ້ງຄ່າ HAProxy ໃນເວລາບິນຜ່ານ REST Web API. ລວມທັງ, ທ່ານສາມາດເພີ່ມແລະລຶບ backends ແລະເຄື່ອງແມ່ຂ່າຍແບບເຄື່ອນໄຫວ, ສ້າງ ACLs, ປ່ຽນເສັ້ນທາງການຮ້ອງຂໍ, ປ່ຽນການຜູກມັດຕົວຈັດການກັບ IP;
• ເພີ່ມຄໍາສັ່ງ nbthread, ເຊິ່ງຊ່ວຍໃຫ້ທ່ານສາມາດກໍານົດຈໍານວນຂອງ threads ທີ່ໃຊ້ໃນ HAProxy ເພື່ອເພີ່ມປະສິດທິພາບໃນ CPU ຫຼາຍແກນ. ໂດຍຄ່າເລີ່ມຕົ້ນ, ຈຳນວນຂອງກະທູ້ພະນັກງານຖືກເລືອກໂດຍຂຶ້ນກັບ CPU cores ທີ່ມີຢູ່ໃນສະພາບແວດລ້ອມປັດຈຸບັນ, ແລະໃນສະພາບແວດລ້ອມຄລາວຄ່າເລີ່ມຕົ້ນແມ່ນໜຶ່ງກະທູ້. ເພື່ອກໍານົດຂໍ້ຈໍາກັດຍາກ, ທາງເລືອກການປະກອບ MAX_THREADS ແລະ MAX_PROCS ໄດ້ຖືກເພີ່ມ, ຈໍາກັດຂອບເຂດຈໍາກັດເທິງກ່ຽວກັບຈໍານວນຂອງ threads ແລະຂະບວນການ;
• ການນໍາໃຊ້ຄໍາສັ່ງຜູກມັດສໍາລັບຕົວຈັດການການຜູກມັດກັບທີ່ຢູ່ເຄືອຂ່າຍໄດ້ຖືກເຮັດໃຫ້ງ່າຍດາຍ. ເມື່ອຕັ້ງຄ່າ, ມັນບໍ່ຈໍາເປັນຕ້ອງກໍານົດຕົວກໍານົດການຂອງຂະບວນການ - ໂດຍຄ່າເລີ່ມຕົ້ນ, ການເຊື່ອມຕໍ່ຈະຖືກແຈກຢາຍລະຫວ່າງກະທູ້ຂຶ້ນກັບຈໍານວນຂອງການເຊື່ອມຕໍ່ທີ່ໃຊ້ວຽກ.
• ການຕັ້ງຄ່າບັນທຶກໃນເວລາທີ່ແລ່ນຢູ່ໃນຖັງທີ່ໂດດດ່ຽວໄດ້ຖືກເຮັດໃຫ້ງ່າຍດາຍ - ບັນທຶກສາມາດຖືກສົ່ງໄປຫາ stdout ແລະ stderr, ເຊັ່ນດຽວກັນກັບຕົວອະທິບາຍໄຟລ໌ທີ່ມີຢູ່ (ຕົວຢ່າງ, "log fd@1 local0");
• ການຮອງຮັບ HTX (Native HTTP Representation) ຖືກເປີດໃຊ້ໂດຍຄ່າເລີ່ມຕົ້ນ, ອະນຸຍາດໃຫ້ມີການດຸ່ນດ່ຽງໃນເວລາທີ່ໃຊ້ຄຸນສົມບັດຂັ້ນສູງເຊັ່ນ HTTP/2 end-to-end, Layer 7 Retries ແລະ gRPC. HTX ບໍ່ໄດ້ທົດແທນ headers ໃນສະຖານທີ່, ແຕ່ຫຼຸດຜ່ອນການປະຕິບັດການດັດແກ້ເພື່ອເອົາອອກແລະເພີ່ມ header ໃຫມ່ໃນຕອນທ້າຍຂອງບັນຊີລາຍຊື່, ເຊິ່ງອະນຸຍາດໃຫ້ທ່ານສາມາດ manipulate ໃດໆທີ່ຂະຫຍາຍຂອງໂປໂຕຄອນ HTTP, ຮັກສາ semantics ຕົ້ນສະບັບຂອງ headers ແລະອະນຸຍາດໃຫ້ທ່ານ. ເພື່ອບັນລຸປະສິດທິພາບທີ່ສູງຂຶ້ນເມື່ອແປ HTTP/2 ເປັນ HTTP/1.1 ແລະໃນທາງກັບກັນ;
• ເພີ່ມການສະຫນັບສະຫນູນຢ່າງເປັນທາງການສໍາລັບໂຫມດ End-to-End HTTP/2 (ການປຸງແຕ່ງທຸກຂັ້ນຕອນໃນ HTTP/2, ລວມທັງການໂທໄປຫາ backend, ແລະບໍ່ພຽງແຕ່ການໂຕ້ຕອບລະຫວ່າງຕົວແທນແລະລູກຄ້າ);
• ການສະຫນັບສະຫນູນຢ່າງເຕັມທີ່ສໍາລັບການເປັນຕົວແທນ bidirectional ຂອງອະນຸສັນຍາ gRPC ໄດ້ຖືກປະຕິບັດດ້ວຍຄວາມສາມາດໃນການແຍກ gRPC streams, ເນັ້ນຂໍ້ຄວາມສ່ວນບຸກຄົນ, ສະທ້ອນໃຫ້ເຫັນການຈະລາຈອນ gRPC ໃນບັນທຶກແລະການກັ່ນຕອງຂໍ້ຄວາມໂດຍໃຊ້ ACLs. gRPC ຊ່ວຍໃຫ້ທ່ານສາມາດຈັດຕັ້ງການເຮັດວຽກຂອງ microservices ໃນພາສາການຂຽນໂປລແກລມຕ່າງໆເຊິ່ງພົວພັນກັບກັນແລະກັນໂດຍໃຊ້ API ທົ່ວໄປ. ການສື່ສານເຄືອຂ່າຍໃນ gRPC ແມ່ນຖືກປະຕິບັດຢູ່ເທິງສຸດຂອງ HTTP/2 protocol ແລະແມ່ນອີງໃສ່ການນໍາໃຊ້ Protocol Buffers ສໍາລັບ serialization ຂໍ້ມູນ.
• ເພີ່ມການສະຫນັບສະຫນູນສໍາລັບໂຫມດ "Layer 7 Retries", ເຊິ່ງຊ່ວຍໃຫ້ທ່ານສາມາດສົ່ງຄໍາຮ້ອງຂໍ HTTP ຊໍ້າຄືນໃນກໍລະນີຂອງຄວາມລົ້ມເຫຼວຂອງຊອບແວທີ່ບໍ່ກ່ຽວຂ້ອງກັບບັນຫາການສ້າງຕັ້ງການເຊື່ອມຕໍ່ເຄືອຂ່າຍ (ຕົວຢ່າງ, ຖ້າບໍ່ມີການຕອບສະຫນອງຫຼືການຕອບສະຫນອງເປົ່າກັບ a. ຄໍາຮ້ອງຂໍ POST). ເພື່ອປິດໃຊ້ງານໂໝດ, ທຸງ “disable-l7-retry” ໄດ້ຖືກເພີ່ມໃສ່ຕົວເລືອກ “http-request”, ແລະຕົວເລືອກ “ລອງເປີດໃໝ່” ໄດ້ຖືກເພີ່ມເຂົ້າໃນການປັບລະອຽດໃນພາກສ່ວນເລີ່ມຕົ້ນ, ຟັງ ແລະ backend. ສັນຍານຕໍ່ໄປນີ້ສາມາດໃຊ້ໄດ້ສໍາລັບການສົ່ງຄືນໃຫມ່: all-retryable-errors, none, conn-failure, empty-response, junk-response, response-timeout, 0rtt-rejected, as well as binding to return status codes (404, etc.) ;
• ຜູ້ຈັດການຂະບວນການໃຫມ່ໄດ້ຖືກປະຕິບັດ, ເຊິ່ງຊ່ວຍໃຫ້ທ່ານສາມາດກໍານົດການໂທຫາໄຟລ໌ທີ່ສາມາດປະຕິບັດໄດ້ພາຍນອກດ້ວຍຕົວຈັດການສໍາລັບ HAProxy.
  ຕົວຢ່າງ, Data Plan API (/usr/sbin/dataplaneapi), ເຊັ່ນດຽວກັນກັບເຄື່ອງຈັກປະມວນຜົນ Offload stream ຕ່າງໆ, ຖືກປະຕິບັດໃນຮູບແບບຂອງຕົວຈັດການພາຍນອກດັ່ງກ່າວ;

• ການຜູກມັດໄດ້ຖືກເພີ່ມສໍາລັບ .NET Core, Go, Lua ແລະ Python ສໍາລັບການພັດທະນາ SPOE (Stream Processing Offload Engine) ແລະ SPOP (Stream Processing Offload Protocol). ກ່ອນຫນ້ານີ້, ການພັດທະນາການຂະຫຍາຍໄດ້ຮັບການສະຫນັບສະຫນູນພຽງແຕ່ຢູ່ໃນ C;
• ເພີ່ມຕົວຈັດການ spoa-mirror ພາຍນອກ (/usr/sbin/spoa-mirror) ສໍາລັບການສະທ້ອນກັບເຄື່ອງແມ່ຂ່າຍທີ່ແຍກຕ່າງຫາກ (ຕົວຢ່າງ, ສໍາລັບການຄັດລອກບາງສ່ວນຂອງການຈະລາຈອນການຜະລິດສໍາລັບການທົດສອບສະພາບແວດລ້ອມທົດລອງພາຍໃຕ້ການໂຫຼດທີ່ແທ້ຈິງ);
• ແນະນຳ HAProxy Kubernetes Ingress Controller ເພື່ອຮັບປະກັນການເຊື່ອມໂຍງກັບແພລະຕະຟອມ Kubernetes;
• ເພີ່ມການກໍ່ສ້າງໃນສະຫນັບສະຫນູນສໍາລັບການສົ່ງອອກສະຖິຕິກັບລະບົບການຕິດຕາມ Prometheus;
• ອະນຸສັນຍາ Peers, ໃຊ້ເພື່ອແລກປ່ຽນຂໍ້ມູນກັບໂນດອື່ນທີ່ໃຊ້ HAProxy, ໄດ້ຖືກຂະຫຍາຍອອກໄປ. ລວມທັງການເພີ່ມການສະຫນັບສະຫນູນສໍາລັບ Heartbeat ແລະການສົ່ງຂໍ້ມູນທີ່ຖືກເຂົ້າລະຫັດ;
• ຕົວກໍານົດການ "ຕົວຢ່າງ" ໄດ້ຖືກເພີ່ມເຂົ້າໃນຄໍາສັ່ງ "ບັນທຶກ", ເຊິ່ງຊ່ວຍໃຫ້ທ່ານສາມາດຖິ້ມພຽງແຕ່ສ່ວນຫນຶ່ງຂອງຄໍາຮ້ອງຂໍເຂົ້າໄປໃນບັນທຶກ, ຕົວຢ່າງ 1 ໃນ 10, ເພື່ອສ້າງຕົວຢ່າງການວິເຄາະ;
• ເພີ່ມໂຫມດໂປຣໄຟລ໌ອັດຕະໂນມັດ (ຄໍາສັ່ງ profiling.tasks, ເຊິ່ງສາມາດເອົາຄ່າອັດຕະໂນມັດ, ເປີດແລະປິດ). ການສ້າງໂປຣໄຟລ໌ອັດຕະໂນມັດຖືກເປີດໃຊ້ງານຖ້າເວລາຕອບສະໜອງສະເລ່ຍເກີນ 1000 ms. ເພື່ອເບິ່ງຂໍ້ມູນ profileing, ຄໍາສັ່ງ "show profileing" ໄດ້ຖືກເພີ່ມເຂົ້າໃນ Runtime API ຫຼືມັນເປັນໄປໄດ້ທີ່ຈະປັບສະຖິຕິກັບບັນທຶກ;
• ເພີ່ມການສະຫນັບສະຫນູນສໍາລັບການເຂົ້າເຖິງເຄື່ອງແມ່ຂ່າຍຂອງ backend ໂດຍໃຊ້ໂປໂຕຄອນ SOCKS4;
• ເພີ່ມການຮອງຮັບແບບ end-to-end ສໍາລັບກົນໄກສໍາລັບການເປີດການເຊື່ອມຕໍ່ TCP ຢ່າງໄວວາ (TFO - TCP Fast Open, RFC 7413), ເຊິ່ງຊ່ວຍໃຫ້ທ່ານສາມາດຫຼຸດຜ່ອນຈໍານວນຂັ້ນຕອນການຕິດຕັ້ງການເຊື່ອມຕໍ່ໂດຍການລວມເອົາຄໍາທໍາອິດເຂົ້າໄປໃນຫນຶ່ງຄໍາຮ້ອງຂໍແລະຂັ້ນຕອນທີສອງຂອງ ຂະບວນການເຈລະຈາການເຊື່ອມຕໍ່ແບບຄລາສສິກ 3 ຂັ້ນຕອນແລະເຮັດໃຫ້ມັນເປັນໄປໄດ້ທີ່ຈະສົ່ງຂໍ້ມູນໃນຂັ້ນຕອນເບື້ອງຕົ້ນຂອງການສ້າງຕັ້ງການເຊື່ອມຕໍ່;
• ເພີ່ມການກະທຳໃໝ່:
  • "http-request replace-uri" ເພື່ອທົດແທນ URL ໂດຍໃຊ້ການສະແດງອອກປົກກະຕິ;
  • "tcp-request content do-resolve" ແລະ "http-request do-resolve" ສໍາລັບການແກ້ໄຂ hostname;
  • "tcp-request content set-dst" ແລະ "tcp-request content set-dst-port" ເພື່ອທົດແທນທີ່ຢູ່ IP ເປົ້າຫມາຍແລະພອດ.
• ເພີ່ມໂມດູນການແປງໃຫມ່:
  • aes_gcm_dev ສໍາລັບການຖອດລະຫັດການຖ່າຍທອດໂດຍໃຊ້ AES128-GCM, AES192-GCM ແລະ AES256-GCM algorithms;
  • protobuf ເພື່ອສະກັດຊ່ອງຂໍ້ມູນຈາກຂໍ້ຄວາມ Protocol Buffers;
  • ungrpc ເພື່ອສະກັດຊ່ອງຂໍ້ມູນຈາກຂໍ້ຄວາມ gRPC.

  ແຫຼ່ງຂໍ້ມູນ: opennet.ru