Utgåvan av HTTP/TCP-lastbalanseraren HAProxy 2.0

Publicerad utgåvan av en belastningsbalanserare HAProxy 2.0, som gör det möjligt att fördela HTTP-trafik och godtyckliga TCP-förfrågningar mellan en grupp servrar, med hänsyn till flera faktorer (till exempel kontrollerar serverns tillgänglighet, bedömer belastningsnivåer, har motåtgärder mot DDoS) och genomför en första datafiltrering (till exempel kan HTTP-huvuden analyseras, överföring av ogiltiga begärningsparametrar filtreras, SQL-injektion och XSS blockeras, och innehållsbehandlingsagenter kopplas in). HAProxy kan också användas användas för att samordna interaktionen mellan komponenter i system baserade på mikrotjänstarkitektur. Projektkoden är skriven i C och levereras licensieras under GPLv2. Projektet används av många stora webbplatser, inklusive Airbnb, Alibaba, GitHub, Imgur, Instagram, Reddit, StackOverflow, Tumblr, Twitter och Vimeo.

Nyckelfunktioner i utgåvan:

• En ny API Data Plan, vilket gör det möjligt att på plats hantera inställningarna för HAProxy via REST Web API. Bland annat kan backendservrar och servrar dynamiskt läggas till och tas bort, ACL skapas, begärningsruttning modifieras och hanterare kopplas till IP-adresser;
• Direktivet nbthread har lagts till, vilket tillåter anpassning av antalet trådar som används i HAProxy för att optimera arbetet på flerkärniga CPU:er. Som standard väljs antalet arbetstrådar beroende på antalet tillgängliga CPU-kärnor i den aktuella miljön, och i molnmiljöer sätts en tråd som standard. För att ställa in strikta begränsningar har kompilationsalternativen MAX_THREADS och MAX_PROCS lagts till, vilket begränsar det övre gränsvärdet för antalet trådar och processer;
• Användningen av direktivet bind för att koppla hanterare till nätverksadresser har förenklats. Vid konfigurationen är det nu inte nödvändigt att definiera processparametrar — som standard kommer anslutningar att fördelas över trådarna beroende på antalet aktiva anslutningar.
• Inställningen av loggar vid start i isolerade containrar har förenklats — loggen kan nu dirigeras till stdout och stderr, samt till vilken befintlig filbeskrivare som helst (till exempel "log fd@1 local0");
• HTX-stöd (Native HTTP Representation) är aktiverat som standard, vilket möjliggör belastningsbalansering vid användning av avancerade funktioner som end-to-end HTTP/2, Layer 7 Retries och gRPC. HTX ersätter inte headers på plats, utan reducerar ändringar till att ta bort och lägga till en ny header i slutet av listan, vilket möjliggör manipulation av alla avancerade varianter av HTTP-protokollet, bevarar den ursprungliga semantiken hos headers och gör det möjligt att uppnå högre prestanda vid översättning av HTTP/2 till HTTP/1.1 och vice versa.
• Officiellt stöd för End-to-End HTTP/2-läge har lagts till (bearbetar alla faser i HTTP/2, inklusive anrop till backend, inte bara interaktion mellan proxy och klient).
• Fullt stöd för tvåvägs proxyhantering av gRPC-protokollet har implementerats, vilket möjliggör parsing av gRPC-strömmar, isolering av individuella meddelanden, loggning av gRPC-trafik och filtrering av meddelanden med hjälp av ACL. gRPC möjliggör arbete med mikrotjänster på olika programmeringsspråk som kommunicerar via ett universellt API. Nätverkskommunikationen i gRPC implementeras ovanför HTTP/2-protokollet och baseras på användning av Protocol Buffers för dat serialisering.
• Stöd för "Layer 7 Retries"-läge har lagts till, vilket gör det möjligt att skicka om HTTP-förfrågningar vid programmeringsfel som inte är relaterade till problem med installation av nätverksanslutningen (till exempel vid brist på svar eller tomt svar på en POST-förfrågan). För att stänga av läget har flaggan "disable-l7-retry" lagts till i "http-request"-alternativet, och för finjustering har avsnitten defaults, listen och backend fått alternativet "retry-on". Följande kriterier är tillgängliga för återutsändning: all-retryable-errors, none, conn-failure, empty-response, junk-response, response-timeout, 0rtt-rejected, samt bindning till returkoder (404 och så vidare).
• En ny processhanterare (Process Manager) har implementerats, vilket möjliggör anpassning av anrop till externa exekverbara filer med hanterare för HAProxy.
  Till exempel har API Data Plan ( /usr/sbin/dataplaneapi) implementerats som en extern hanterare, samt olika engine Offload-behandlingar.
• Bindningar för utveckling av SPOE (Stream Processing Offload Engine) och SPOP (Stream Processing Offload Protocol) har lagts till för .NET Core, Go, Lua och Python. Tidigare stöddes utveckling av tillägg endast på C.
• En extern spoa-mirror behörighetskontroll har lagts till ( /usr/sbin/spoa-mirror ) för att spegla förfrågningar till en separat server (till exempel för att kopiera en del av arbetsbelastningen för att testa en experimentell miljö med verklig belastning);
• Presenteras HAProxy Kubernetes Ingress Controller för att säkerställa integration med Kubernetes-plattformen;
• Inbyggt stöd för att exportera statistik till övervakningssystem har lagts till. Prometheus;
• Peers Protocol har expanderats, vilket används för att utbyta information med andra noder med HAProxy. Bland annat har stöd för Heartbeat och krypterad datatransfer lagts till;
• Parameter 'sample' har lagts till direktivet 'log', vilket gör att endast en del av förfrågningarna loggas, till exempel en av tio, för att skapa en analytisk urval;
• Ett automatiskt profileringsläge har lagts till (direktiv profiling.tasks, som kan anta värdena auto, on och off). Automatisk profilering aktiveras om den genomsnittliga fördröjningen överskrider 1000 ms. För att visa profileringsdata har kommandot 'show profiling' lagts till i Runtime API, eller det finns möjlighet att återställa statistiken till loggen;
• Stöd för att adressera backend-servrar med SOCKS4-protokollet har lagts till;
• Effektiv slut-och-slut-stöd (end-to-end) för snabb öppningsmekanism av TCP-anslutningar (TFO — TCP Fast Open, RFC 7413) har lagts till, vilket minskar antalet steg i anslutningsprocessen genom att kombinera första och andra steget i den klassiska tre-steppsenordningen, vilket gör det möjligt att skicka data i det inledande skedet av anslutningsupprättandet;
• Nya åtgärder har lagts till:
  • «http-request replace-uri» för att ersätta URL med hjälp av ett reguljärt uttryck;
  • «tcp-request content do-resolve» och «http-request do-resolve» för att lösa värdnamn;
  • «tcp-request content set-dst» och «tcp-request content set-dst-port» för att sätta mål-IP-adress och port.
• Nya konverteringsmoduler har lagts till:
  • aes_gcm_dev för avkryptering av strömmar med algoritmerna AES128-GCM, AES192-GCM och AES256-GCM;
  • protobuf för att extrahera fält från meddelanden i Protocol Buffers;
  • ungrpc för att extrahera fält från gRPC-meddelanden.

  Källa: opennet.ru