Utgivningen av HTTP/TCP-lastbalanceraren HAProxy 3.0

Fem år efter bildandet av version 2.0 har HAProxy 3.0 släppts, en lastbalanserare som gör det möjligt att fördela HTTP-trafik och godtyckliga TCP-förfrågningar mellan en grupp servrar, med hänsyn till många faktorer (till exempel kontrollerar serververksamhet, bedömer belastningsnivåer, har medel för att motverka DDoS) och genomför primär filtrering av data (till exempel kan HTTP-rubriker analyseras, överföring av ogiltiga förfrågningsparametrar filtreras, SQL-injektion och XSS blockeras, och innehållsbehandlingsagenter kan kopplas in). HAProxy kan också användas för att koordinera interaktionen mellan komponenter i mikrotjänarbaserade system. Projektkoden är skriven i C och släpps under GPLv2-licensen. Projektet används av många stora webbplatser, inklusive Airbnb, Alibaba, GitHub, Imgur, Instagram, Reddit, StackOverflow, Tumblr, Twitter och Vimeo.

HAProxy 3.0 har klassificerats som en version med långsiktig support (LTS) och kommer att underhållas fram till 2029. Nyckeländringar:

• En ny sektion "crt-store" har lagts till i konfigurationen för att ställa in lagring och användning av TLS-certifikat. Till skillnad från den tidigare tillgängliga inställningen crt-list, separerar crt-store lagringen av certifikat från deras användning i frontend, vilket möjliggör individuell specifikation av lagringsplatsen för varje certifikatkomponent (filer med certifikat, nycklar och OCSP-data).
• Möjligheten att ställa in begränsningar för förfrågningar som använder HTTP/2, som protokollet tillåter, men som kan skapa problem, har lagts till. Till exempel kan skickandet av en CONTINUATION-ram leda till en DoS-attack, kallad Continuation flood.
• En ny konfigurationsdirektiv "guid" har lagts till, som kan användas i sektioner som "frontend", "backend" och "listen". Direktivet kopplar en unik identifierare till dessa sektioner, vilket gör det möjligt att behålla relaterad statistik efter omstart (statussidan Stats kommer inte att återställas). För att spara statistik i en fil har en ny kommando "dump stats-file" lagts till, och för att läsa från filen efter omstart har en ny konfigurationsdirektiv "stats-file" lagts till.
• Möjligheterna för lastbalansering av Syslog-meddelanden har utökats. Möjligheten att tilldela vikter till konfigurationsrader kopplade till servrar i backend-loggarna har lagts till.
• Stöd för formatering av loggsträngar i JSON- och CBOR-format har lagts till.
• Data som kan hämtas med informationsutvinningsfunktioner har utökats, till exempel kan man begära information om antalet öppna HTTP-sessioner för backend och frontend, storleken på köer för förfrågningar och tillåtet antal samtidiga sessioner.
• Prestandan för entrådiga Lua-skript som laddas med direktivet 'lua-load' har förbättrats.
• Prestandan för minneslagringsområden som skapas med direktivet stick-table har ökat avsevärt. På ett system med 80 trådar ökade prestandan sex gånger.
• I konfigurationer med flera webbplatser, där TLS-certifikat utväljs baserat på värdidentifieraren som överförs med TLS-tillägget SNI, har en parameter 'default-crt' lagts till för att ange ett standardcertifikat som används om det inte går att matcha några befintliga certifikat med webbplatsen.
• Åtgärderna 'set-fc-tos' och 'set-bc-tos' har lagts till för att ange DS-fältet (Differentiated Services) i IP-paket på backend- eller frontend-sidan, vilket bestämmer trafikprioritering.
• Åtgärderna 'set-fc-mark' och 'set-bc-mark' har lagts till för att märka IP-paket på backend- eller frontend-sidan, till exempel för senare koppling till en viss routingtabell.
• Stöd för att skapa identifierare i UUIDv7-format har lagts till.
• Möjligheten att använda prefixet '@virt' för att skapa virtuella ACL- och Map-filer, som inte sparas på disk, har implementerats. Innehållet i virtuella ACL- och Map-filer läggs till och tas bort med hjälp av Runtime API. Prefixet '@opt' finns också tillgängligt, där virtuella filer endast används om den faktiska filen inte finns på disken.
• Ändringar som bryter mot bakåtkompatibilitet har gjorts: det är inte längre tillåtet att skicka flera kommandon i ett enda förfrågan i Runtime API, separerade med radbrytning; det är förbjudet att använda nyckelordet 'enabled' för dynamiska servrar; kontrollen av icke-standard URI:er har skärpts.

Källa: opennet.ru