Lastbalansering i Zimbra Open-Source Edition med hjälp av HAProxy

En av de viktigaste uppgifterna vid byggandet av storskaliga Zimbra OSE-infrastrukturer är korrekt belastningsbalansering. Förutom att den ökar tjänstens tillgänglighet, är det omöjligt att säkerställa samma responsivitet för alla användare utan belastningsbalansering. För att lösa detta problem används belastningsbalanserare – både programvaru- och hårdvarulösningar som omfördelar förfrågningar mellan servrar. Bland dessa finns enkla lösningar som RoundRobin, som helt enkelt dirigerar varje nästa förfrågan till den nästa servern i listan, samt mer avancerade alternativ som HAProxy, som är mycket använd i högbelastade beräkningsinfrastrukturer på grund av en rad betydande fördelar. Låt oss titta på hur vi kan säkerställa samarbete mellan belastningsbalanseraren HAProxy och Zimbra OSE.

Så, enligt uppgifternas krav har vi en Zimbra OSE-infrastruktur med två Zimbra Proxy, två LDAP-servrar och en LDAP-replika, fyra e-postlagringsutrymmen med 1000 e-postlådor vardera och tre MTA:er. Med tanke på att vi arbetar med en e-postserver kommer det att finnas tre typer av trafik som behöver balanseras: HTTP för att ladda webbklienten samt POP och SMTP för e-postöverföring. Här kommer HTTP-trafiken att gå till servrar Zimbra Proxy med IP-adresserna 192.168.0.57 och 192.168.0.58, medan SMTP-trafiken kommer att riktas mot MTA-servrar med IP-adresserna 192.168.0.77 och 192.168.0.78.

Som redan nämnts kommer vi att använda belastningsbalanseraren HAProxy för att säkerställa en jämn fördelning av förfrågningar mellan servrarna. Den kommer att köras på ingångsnoden i Zimbra-infrastrukturen som drivs av Ubuntu 18.04. Installationen av haproxy i detta operativsystem görs med kommandot sudo apt-get install haproxy. Efter det behöver vi i filen /etc/default/haproxy ändra parameter ENABLED=0 till ENABLED=1. Nu, för att säkerställa att haproxy fungerar, räcker det att skriva kommandot service haproxy. Om denna tjänst är aktiv, kommer detta att framgå av kommandots utdata.

En av HAProxy:s största brister är att den som standard inte vidarebefordrar IP-adressen till den anslutna klienten, utan ersätter den med sin egen. Detta kan leda till situationer där e-post som skickas av angripare inte kan identifieras baserat på IP-adress, för att lägga till den i svartlistan. Detta problem kan dock lösas. För detta behöver du redigera filen /opt/zimbra/common/conf/master.cf.in på servrar med Postfix och lägga till följande rader:

26      inet  n       -       n       -       1       postscreen
        -o postscreen_upstream_proxy_protocol=haproxy
 
466    inet  n       -       n       -       -       smtpd
%%uncomment SERVICE:opendkim%%  -o content_filter=scan:[%%zimbraLocalBindAddress%%]:10030
        -o smtpd_tls_wrappermode=yes
        -o smtpd_sasl_auth_enable=yes
        -o smtpd_client_restrictions=
        -o smtpd_data_restrictions=
        -o smtpd_helo_restrictions=
        -o smtpd_recipient_restrictions=
        -o smtpd_relay_restrictions=permit_sasl_authenticated,reject
        -o syslog_name=postfix/smtps
        -o milter_macro_daemon_name=ORIGINATING
        -o smtpd_upstream_proxy_protocol=haproxy
%%uncomment LOCAL:postjournal_enabled%% -o smtpd_proxy_filter=[%%zimbraLocalBindAddress%%]:10027
%%uncomment LOCAL:postjournal_enabled%% -o smtpd_proxy_options=speed_adjust
 
588 inet n      -       n       -       -       smtpd
%%uncomment SERVICE:opendkim%%  -o content_filter=scan:[%%zimbraLocalBindAddress%%]:10030
        -o smtpd_etrn_restrictions=reject
        -o smtpd_sasl_auth_enable=%%zimbraMtaSaslAuthEnable%%
        -o smtpd_tls_security_level=%%zimbraMtaTlsSecurityLevel%%
        -o smtpd_client_restrictions=permit_sasl_authenticated,reject
        -o smtpd_data_restrictions=
        -o smtpd_helo_restrictions=
        -o smtpd_recipient_restrictions=
        -o smtpd_relay_restrictions=permit_sasl_authenticated,reject
        -o syslog_name=postfix/submission
        -o milter_macro_daemon_name=ORIGINATING
        -o smtpd_upstream_proxy_protocol=haproxy
%%uncomment LOCAL:postjournal_enabled%% -o smtpd_proxy_filter=[%%zimbraLocalBindAddress%%]:10027
%%uncomment LOCAL:postjournal_enabled%% -o smtpd_proxy_options=speed_adjust

Genom detta öppnar vi portarna 26, 466 och 588, som kommer att ta emot inkommande trafik från HAProxy. Efter att filerna har sparats, bör Postfix startas om på alla servrar med kommandot zmmtactl restart.

Därefter går vi vidare med konfigurationen av HAProxy. För detta skapar vi först en säkerhetskopia av konfigurationsfilen cp /etc/haproxy/haproxy.cfg /etc/haproxy/haproxy.cfg.bak. Sedan öppnar vi den ursprungliga filen i en textredigerare /etc/haproxy/haproxy.cfg och börjar steg för steg lägga till de nödvändiga inställningarna. Den första delen kommer att vara att lägga till servern som hanterar loggar, se till att maximalt antal samtidiga anslutningar är inställt, samt ange namnet och gruppen för användaren som den körande processen kommer att tillhöra.

global
    user daemon
    group daemon
    daemon
    log 127.0.0.1 daemon
    maxconn 5000
    chroot /var/lib/haproxy

Siffran 5000 för samtidiga anslutningar är inte utan anledning. Eftersom vi har 4000 e-postlådor i vår infrastruktur måste vi förutse risken att alla loggar in på sina jobbet samtidigt. Dessutom behöver vi ha en liten marginal ifall antalet ökar.

Låt oss nu lägga till en block med standardinställningar:

defaults
        timeout client 1m
        log global
        mode tcp
        timeout server 1m
        timeout connect 5s

I detta block anges den maximala väntetiden för klienten och servern för att avbryta anslutningen när tiden går ut, samt driftläget för HAProxy. I vårt fall arbetar lastbalanseraren i TCP-läge, vilket innebär att den bara vidarebefordrar TCP-paket utan att analysera deras innehåll.

Därefter lägger vi till regler för anslutningar på olika portar. Om port 25 används för SMTP-anslutningar och e-postöverföring, är det meningsfullt att omdirigera anslutningar till den till MTA:erna i vår infrastruktur. Om anslutningen däremot går till port 80, handlar det om en http-förfrågan som måste vidarebefordras till Zimbra Proxy.

Regel för port 25:

frontend smtp-25
bind *:27
default_backend backend-smtp-25
 
backend backend-smtp-25
server mta1 192.168.0.77:26 send-proxy
server mta2 192.168.0.78:26 send-proxy

Regel för port 465:

frontend smtp-465
bind *:467
default_backend backend-smtp-465

backend backend-smtp-465
server mta1 192.168.0.77:466 send-proxy
server mta2 192.168.0.78:466 send-proxy

Regel för port 587:

frontend smtp-587
bind *:589
default_backend backend-smtp-587
 
backend backend-smtp-587
server mail1 192.168.0.77:588 send-proxy
server mail2 192.168.0.78:588 send-proxy

Regel för port 80:

frontend http-80
bind    *:80
default_backend http-80
 
backend http-80
mode tcp
server zproxy1 192.168.0.57:80 check
server zproxy2 192.168.0.58:80 check

Regel för port 443:

frontend https
bind  *:443
default_backend https-443
 
backend https-443
mode tcp
server zproxy1 192.168.0.57:80 check
server zproxy2 192.168.0.58:80 check

Observera att i reglerna för att vidarebefordra TCP-paket till MTA finns parametern send-proxy. Detta är nödvändigt för att, i enlighet med de ändringar vi gjorde tidigare i Postfix-inställningarna, det ursprungliga IP-adressen för avsändaren också ska vidarebefordras med TCP-paketen.

Nu när alla nödvändiga ändringar i HAProxy har gjorts, kan tjänsten startas om med kommandot service haproxy restart och börja använda den.

För alla frågor relaterade till Zextras Suite kan ni kontakta företagets representant "Zextras", Ekaterina Triandafiliidi, via e-post katerina@zextras.com

Källa: habr.com