HAProxy - Historique des versions

Justine : /* Savoir à qui parler : définir un frontend */

2023-03-29T09:12:57Z

Savoir à qui parler : définir un frontend

← Version précédente		Version du 29 mars 2023 à 09:12
Ligne 89 :		Ligne 89 :
	</source>		</source>

	== Savoir à qui parler : définir un ~~frontend~~ ==		== Savoir à qui parler : définir un backend ==
	Avec HAProxy, on a un frontend qui reçoit le traffic; ce traffic est ensuite dispatché vers un backend, soit un pool de serveurs webs / applicatifs qui sauront répondre. Ici, je vais pour ma part ajouter un backend qui correspondra à mon wiki.		Avec HAProxy, on a un frontend qui reçoit le traffic; ce traffic est ensuite dispatché vers un backend, soit un pool de serveurs webs / applicatifs qui sauront répondre. Ici, je vais pour ma part ajouter un backend qui correspondra à mon wiki.

Justine le 22 juin 2022 à 11:44

2022-06-22T11:44:25Z

← Version précédente		Version du 22 juin 2022 à 11:44
Ligne 1 :		Ligne 1 :
			[[Category:linux]]
	= Présentation, installation, configuration de base =		= Présentation, installation, configuration de base =
	[https://www.haproxy.com/fr/blog/haproxy-configuration-basics-load-balance-your-servers/ Doc]		[https://www.haproxy.com/fr/blog/haproxy-configuration-basics-load-balance-your-servers/ Doc]

Justine le 9 décembre 2021 à 16:55

2021-12-09T16:55:53Z

@@ Ligne 182 : / Ligne 182 : @@
 	bind :443 ssl crt /etc/haproxy/ssl/certs/
-	#Redirige http > https
+	#Redirige http > https avec une 302
-	http-request redirect scheme https unless { ssl_fc }
+	#http-request redirect scheme https unless { ssl_fc }
 	acl is_wiki hdr(host) -i wiki.squi.fr
@@ Ligne 241 : / Ligne 243 : @@
 == Durcissement et headers HTTP ==
 Dans le but de durcir un peu la configuration de notre HAProxy, on peut rajouter à la volée des headers HTTP.

Justine le 9 décembre 2021 à 16:37

2021-12-09T16:37:21Z

← Version précédente		Version du 9 décembre 2021 à 16:37
Ligne 238 :		Ligne 238 :
	</source>		</source>
	Mais il existe bien d'autres checks, par exemple en fonction du code retour ou en fonction du texte dans la page HTML. Voir la doc ci-dessus en fonction des besoins.		Mais il existe bien d'autres checks, par exemple en fonction du code retour ou en fonction du texte dans la page HTML. Voir la doc ci-dessus en fonction des besoins.

			== Durcissement et headers HTTP ==
			Dans le but de durcir un peu la configuration de notre HAProxy, on peut rajouter à la volée des headers HTTP.

Justine : /* Health Checks */

2021-10-05T23:42:07Z

Health Checks

← Version précédente		Version du 5 octobre 2021 à 23:42
Ligne 234 :		Ligne 234 :

	La façon la plus simple consiste à envoyer un paquet tcp sur le port du serveur et à attendre une réponse. Cela se fait en ajoutant une simple directive check sur les serveurs:		La façon la plus simple consiste à envoyer un paquet tcp sur le port du serveur et à attendre une réponse. Cela se fait en ajoutant une simple directive check sur les serveurs:
	<~~code~~>		<source>
	server varnish1 127.0.0.1:81 alpn h2,http/1.1 check		server varnish1 127.0.0.1:81 alpn h2,http/1.1 check
	</~~code~~>		</source>
	Mais il existe bien d'autres checks, par exemple en fonction du code retour ou en fonction du texte dans la page HTML. Voir la doc ci-dessus en fonction des besoins.		Mais il existe bien d'autres checks, par exemple en fonction du code retour ou en fonction du texte dans la page HTML. Voir la doc ci-dessus en fonction des besoins.

Justine le 5 octobre 2021 à 23:41

2021-10-05T23:41:44Z

← Version précédente		Version du 5 octobre 2021 à 23:41
Ligne 205 :		Ligne 205 :
	</source>		</source>

	= Authentification utilisateurs =		== Authentification utilisateurs ==
	[https://www.haproxy.com/documentation/hapee/latest/security/authentication/basic-authentication/ Doc pas claire]		[https://www.haproxy.com/documentation/hapee/latest/security/authentication/basic-authentication/ Doc pas claire]
	Trois directives.		Trois directives.
Ligne 228 :		Ligne 228 :
	</source>		</source>
	...is_gallery étant l'acl vérifiant juste si un utilisateur se rend sur le site de ma gallerie de photos privées.		...is_gallery étant l'acl vérifiant juste si un utilisateur se rend sur le site de ma gallerie de photos privées.

			== Health Checks ==
			[https://www.haproxy.com/documentation/hapee/latest/load-balancing/health-checking/active-health-checks/ Documentation sur les health checks]
			HAproxy peut vérifier à intervalles réguliers la santé de ses backends selon divers critères, et envoyer une erreur par exemple si ce critère échoue (le site est alors innacessible). C'est aussi utile avec checkMK qui le fait remonter dans ses sondes.

			La façon la plus simple consiste à envoyer un paquet tcp sur le port du serveur et à attendre une réponse. Cela se fait en ajoutant une simple directive check sur les serveurs:
			<code>
			server varnish1 127.0.0.1:81 alpn h2,http/1.1 check
			</code>
			Mais il existe bien d'autres checks, par exemple en fonction du code retour ou en fonction du texte dans la page HTML. Voir la doc ci-dessus en fonction des besoins.

Justine le 4 octobre 2021 à 23:54

2021-10-04T23:54:31Z

← Version précédente		Version du 4 octobre 2021 à 23:54
Ligne 204 :		Ligne 204 :
	systemctl reload haproxy		systemctl reload haproxy
	</source>		</source>

			= Authentification utilisateurs =
			[https://www.haproxy.com/documentation/hapee/latest/security/authentication/basic-authentication/ Doc pas claire]
			Trois directives.

			Un groupe d'utilisateurs :
			<source>
			userlist myusers
			group gallery
			user gallery password $5$h9.GezjJQM8dEjSB$h5b0.zQFXXU2ku/6DINE1T4cBZgIzCFnieN/QXt2k.8 groups gallery
			</source>
			Ici, je créée une liste myusers, contenant un groupe gallery. Le mot de passe est généré avec la commande mkpasswd du paquet whois:
			<source>
			mkpasswd -m sha-256 'mypasswd'
			</source>

			Puis dans mon frontend:
			<source>
			#Cette acl inclut tous les gens authentifiés dans myusers / gallery
			acl req_auth http_auth_group(myusers) gallery
			#Si pas concerné par l'ACL, accès limité pour ma gallerie
			http-request auth realm "Limited Access" if !req_auth is_gallery
			</source>
			...is_gallery étant l'acl vérifiant juste si un utilisateur se rend sur le site de ma gallerie de photos privées.

Justine le 26 septembre 2021 à 11:38

2021-09-26T11:38:06Z

← Version précédente		Version du 26 septembre 2021 à 11:38
Ligne 196 :		Ligne 196 :
	backend bookstack		backend bookstack
	server bookstack1 10.0.0.105:80		server bookstack1 10.0.0.105:80
			</source>

			Puis je vérifie et reload HAProxy:

			<source>
			haproxy -c -V -f /etc/haproxy/haproxy.cfg
			systemctl reload haproxy
	</source>		</source>

Justine le 26 septembre 2021 à 11:36

2021-09-26T11:36:53Z

@@ Ligne 154 : / Ligne 154 : @@
 Mon but va désormais être de faire du SSL offloading : mes serveurs web continuent à servir le port 80, mais les clients arrivent sur HAProxy qui répond en SSL avec des certificats gérés par certbot.
-Pour cela, je vais avoir besoin d'un certificat SSL que je vais faire avec [[Certbot]]. J'ai certbot en place, je vais installer une crontab pour lui demander de générer un certificat wildcard et le renouveller régulièrement :
+Pour cela, je vais avoir besoin d'un certificat SSL que je vais faire avec [[Certbot]]. J'ai certbot en place, je vais installer une crontab pour lui demander de générer un certificat wildcard pour chacun de mes domaines. exécutant ce script pour le renouveler régulièrement :
 <source>
-domains="squi.fr squirrelsystem.fr"; \
+mkdir /etc/haproxy/ssl/certs
-for domain in $domains; \
+</source>
-do certbot certonly -n --agree-tos --email justinepelletreau@gmail.com --dns-ovh --dns-ovh-credentials ~/.secrets/certbot/ovh.ini -d ${domain} -d *.${domain} &&\
+...puis je lance le script une première fois et vérifie que tout se passe bien. Ensuite je le mets dans une crontab qui tournera tous les mois.
- cat /etc/letsencrypt/live/${domain}/fullchain.pem /etc/letsencrypt/live/${domain}/privkey.pem > /etc/haproxy/ssl/certs/${domain}.pem && systemctl reload haproxy
+<source>
 </source>

Justine le 26 septembre 2021 à 11:15

2021-09-26T11:15:28Z

← Version précédente		Version du 26 septembre 2021 à 11:15
Ligne 153 :		Ligne 153 :
	== Configuration pour SSL ==		== Configuration pour SSL ==
	Mon but va désormais être de faire du SSL offloading : mes serveurs web continuent à servir le port 80, mais les clients arrivent sur HAProxy qui répond en SSL avec des certificats gérés par certbot.		Mon but va désormais être de faire du SSL offloading : mes serveurs web continuent à servir le port 80, mais les clients arrivent sur HAProxy qui répond en SSL avec des certificats gérés par certbot.

			Pour cela, je vais avoir besoin d'un certificat SSL que je vais faire avec [[Certbot]]. J'ai certbot en place, je vais installer une crontab pour lui demander de générer un certificat wildcard et le renouveller régulièrement :
			<source>
			domains="squi.fr squirrelsystem.fr"; \
			for domain in $domains; \
			do certbot certonly -n --agree-tos --email justinepelletreau@gmail.com --dns-ovh --dns-ovh-credentials ~/.secrets/certbot/ovh.ini -d ${domain} -d *.${domain} &&\
			cat /etc/letsencrypt/live/${domain}/fullchain.pem /etc/letsencrypt/live/${domain}/privkey.pem > /etc/haproxy/ssl/certs/${domain}.pem && systemctl reload haproxy
			</source>