Налаштування HAProxy на VPS:

Конфігурація

Основний конфігураційний файл HAProxy знаходиться за шляхом /etc/haproxy/haproxy.cfg. Перед внесенням змін завжди робіть резервну копію оригінального файлу.

sudo cp /etc/haproxy/haproxy.cfg /etc/haproxy/haproxy.cfg.bak
sudo nano /etc/haproxy/haproxy.cfg

Очистіть вміст файлу haproxy.cfg та вставте наступну конфігурацію. Цей конфіг включає глобальні налаштування, налаштування за замовчуванням, frontend для HTTP та HTTPS, а також backend для наших Nginx-серверів.

Приклад конфігурації HAProxy для HTTP та HTTPS з SSL-термінацією

Ми налаштуємо HAProxy для обробки HTTP-трафіку (перенаправлення на HTTPS) та HTTPS-трафіку з SSL-термінацією. Для SSL-сертифікатів будемо використовувати Let's Encrypt через Certbot.

Отримання SSL-сертифіката за допомогою Certbot

Перш ніж налаштовувати HTTPS, нам потрібен SSL-сертифікат. Встановимо Certbot та отримаємо сертифікат для вашого домену (замініть your_domain.com на ваш реальний домен).

sudo apt install certbot -y   # Встановлення Certbot
sudo certbot certonly --standalone -d your_domain.com -d www.your_domain.com --agree-tos --email [email protected] --non-interactive # Отримання сертифіката

Certbot за замовчуванням використовує порт 80 для standalone-режиму. Переконайтеся, що порт 80 вільний на момент виконання цієї команди (тимчасово зупиніть Nginx, якщо він вже слухає на 80).

sudo systemctl stop nginx # Тимчасово зупиняємо Nginx, якщо він слухає на 80
# ... виконуємо команду certbot ...
sudo systemctl start nginx # Запускаємо Nginx назад

Сертифікати будуть розташовані в /etc/letsencrypt/live/your_domain.com/. HAProxy вимагає сертифікат у форматі PEM, який об'єднує приватний ключ та повний ланцюжок сертифікатів. Створимо такий файл:

sudo mkdir -p /etc/haproxy/certs/
sudo cat /etc/letsencrypt/live/your_domain.com/fullchain.pem /etc/letsencrypt/live/your_domain.com/privkey.pem | sudo tee /etc/haproxy/certs/your_domain.com.pem > /dev/null
sudo chmod -R go-rwx /etc/haproxy/certs # Встановлення строгих прав

Тепер HAProxy зможе використовувати цей файл /etc/haproxy/certs/your_domain.com.pem для SSL-термінації.

Файл конфігурації HAProxy (/etc/haproxy/haproxy.cfg)

global
    log /dev/log    local0
    chroot /var/lib/haproxy
    stats socket /run/haproxy/admin.sock mode 660 level admin expose-fd listeners
    stats timeout 30s
    user haproxy
    group haproxy
    daemon
    # Оновлення HAProxy до версії 2.9+ дозволяє використовувати більше ядер CPU
    # nbthread 2 # Використовує 2 потоки/ядра CPU, якщо доступно
    cpu-map 1 0 # Прив'язка потоку 1 до ядра 0
    cpu-map 2 1 # Прив'язка потоку 2 до ядра 1 (якщо nbthread 2)
    maxconn 20000 # Максимальна кількість одночасних з'єднань

defaults
    mode http
    log global
    option httplog
    option dontlognull
    option http-server-close
    option forwardfor       except 127.0.0.0/8
    option redispatch
    retries 3
    timeout http-request 10s
    timeout queue 1m
    timeout connect 10s
    timeout client 1m
    timeout server 1m
    timeout http-keep-alive 20s
    timeout check 10s
    maxconn 5000 # Максимальна кількість з'єднань на frontend/backend

# Frontend для HTTP-трафіку (перенаправлення на HTTPS)
frontend http_in
    bind *:80
    mode http
    redirect scheme https code 301 if !{ ssl_fc } # Перенаправляємо весь HTTP на HTTPS

# Frontend для HTTPS-трафіку з SSL-термінацією
frontend https_in
    bind *:443 ssl crt /etc/haproxy/certs/your_domain.com.pem # Замініть на ваш домен
    mode http
    option httplog
    # ACL для визначення, який бекенд використовувати
    acl url_static path_beg /static /images /css /js
    acl url_admin path_beg /admin
    # Використання ACL для вибору бекенда
    use_backend bk_static if url_static
    use_backend bk_admin if url_admin
    default_backend bk_webservers

# Backend для статичного контенту (опціонально)
backend bk_static
    mode http
    balance roundrobin # Метод балансування: по черзі
    server static_server 127.0.0.1:8082 check # Приклад статичного сервера, якщо є

# Backend для адмін-панелі (опціонально)
backend bk_admin
    mode http
    balance leastconn # Метод балансування: найменша кількість з'єднань
    server admin_server 127.0.0.1:8083 check # Приклад адмін-сервера

# Backend для основних веб-серверів
backend bk_webservers
    mode http
    balance roundrobin # Метод балансування: по черзі
    option httpchk GET /healthz # Перевірка здоров'я за URL /healthz
    # У реальному середовищі тут будуть IP-адреси та порти ваших бекенд-серверів
    # Наприклад: server web1 192.168.1.10:80 check
    #           server web2 192.168.1.11:80 check
    server web1 127.0.0.1:8080 check inter 2s fall 3 rise 2 weight 100
    server web2 127.0.0.1:8081 check inter 2s fall 3 rise 2 weight 100

# Статистика HAProxy
listen stats
    bind *:8000 # Порт для доступу до статистики HAProxy
    mode http
    stats enable
    stats uri /haproxy_stats # URL для статистики
    stats realm Haproxy\ Statistics # Назва області авторизації
    stats auth admin:PASSWORD_HA_PROXY # Логін та пароль для доступу (обов'язково змініть!)
    stats refresh 10s # Оновлення статистики кожні 10 секунд

Важливі зауваження щодо конфігурації:

• Замініть your_domain.com на ваш реальний домен у рядку bind *:443 ssl crt /etc/haproxy/certs/your_domain.com.pem.
• Замініть PASSWORD_HA_PROXY на надійний пароль для доступу до сторінки статистики.
• У секції backend bk_webservers:
  • balance roundrobin: Метод балансування, що розподіляє запити по черзі. Інші популярні методи: leastconn (найменша кількість активних з'єднань), source (на основі IP-адреси клієнта для "липких" сесій).
  • option httpchk GET /healthz: HAProxy надсилатиме HTTP GET-запит за шляхом /healthz на кожен бекенд для перевірки його працездатності. Ваші бекенди повинні відповідати на цей URL 200 OK.
  • server web1 127.0.0.1:8080 check inter 2s fall 3 rise 2 weight 100:
    • web1: Ім'я сервера.
    • 127.0.0.1:8080: IP-адреса та порт бекенда. У реальному середовищі це будуть IP-адреси ваших інших VPS.
    • check: Вмикає перевірку здоров'я.
    • inter 2s: Інтервал між перевірками здоров'я (2 секунди).
    • fall 3: Сервер вважатиметься непрацездатним після 3 невдалих перевірок.
    • rise 2: Сервер вважатиметься працездатним після 2 успішних перевірок.
    • weight 100: Відносна вага сервера при балансуванні (чим вище, тим більше трафіку він отримує).

Перевірка конфігурації HAProxy

Завжди перевіряйте синтаксис конфігурації перед перезапуском HAProxy.

sudo haproxy -c -f /etc/haproxy/haproxy.cfg # Перевірка синтаксису конфіга

Якщо помилок немає, ви побачите повідомлення "Configuration file is valid". Тепер перезапустіть HAProxy:

sudo systemctl restart haproxy # Перезапуск служби HAProxy
sudo systemctl status haproxy  # Перевірка статусу

Налаштування Nginx для /healthz

Для того щоб HAProxy міг перевіряти здоров'я наших бекендів, Nginx повинен відповідати на /healthz. Додайте до кожного файлу конфігурації Nginx (/etc/nginx/sites-available/backend1.conf та backend2.conf) всередині блоку server наступний location:

location /healthz {
    return 200 'OK';
    add_header Content-Type text/plain;
}

Після зміни кожного файлу Nginx, перевірте та перезапустіть Nginx:

sudo nginx -t
sudo systemctl restart nginx

Перевірка працездатності

1. Доступ до HTTP/HTTPS

Відкрийте ваш домен (your_domain.com) у браузері. Ви повинні бути автоматично перенаправлені на HTTPS, і вміст має завантажуватися. Якщо ви кілька разів оновите сторінку, ви побачите, як X-Backend-Server змінюється між "Backend 1" та "Backend 2", підтверджуючи роботу балансування.

curl -I http://your_domain.com # Перевірка редиректу
curl -I https://your_domain.com # Перевірка HTTPS та заголовка бекенда

2. Доступ до статистики HAProxy

Відкрийте в браузері http://ВАШ_IP_АДРЕС_VPS:8000/haproxy_stats. Введіть логін admin та пароль, який ви встановили в конфігу. Ви побачите сторінку статистики, де відображатимуться стани ваших бекендів, кількість з'єднань та інші метрики. Це чудовий інструмент для моніторингу.

Резервні копії та обслуговування

Надійна система резервних копій та регулярне обслуговування є критично важливими для будь-якого продакшн-середовища.

Що резервувати

Для HAProxy основними елементами для резервного копіювання є:

• Конфігураційні файли HAProxy: /etc/haproxy/haproxy.cfg та будь-які інші файли, на які він посилається (наприклад, списки ACL, якщо вони винесені в окремі файли).
• SSL-сертифікати: Директорія /etc/letsencrypt/live/your_domain.com/ та об'єднаний PEM-файл /etc/haproxy/certs/your_domain.com.pem. Ці файли містять приватні ключі та повинні зберігатися в безпеці.

Простий скрипт авторезервного копіювання

Створимо простий скрипт, який буде архівувати важливі файли та надсилати їх у безпечне місце. Як приклад будемо використовувати rsync для копіювання на віддалений сервер або S3-сумісне сховище (наприклад, MinIO, Wasabi, або інший VPS). Для S3-сумісних сховищ знадобиться встановлення awscli або іншого S3-клієнта.

Припустимо, у вас є віддалений сервер для резервних копій з користувачем backupuser та налаштованим SSH-ключем.

sudo nano /usr/local/bin/backup_haproxy.sh

Вміст скрипта (замініть backupuser@backup_server_ip та /path/to/remote/backups):

#!/bin/bash

# Каталог для тимчасових резервних копій
BACKUP_DIR="/tmp/haproxy_backup"
DATE=$(date +%Y%m%d%H%M%S)
ARCHIVE_NAME="haproxy_config_${DATE}.tar.gz"
REMOTE_DEST="backupuser@backup_server_ip:/path/to/remote/backups" # Замініть на ваш віддалений сервер

mkdir -p "$BACKUP_DIR"

echo "Початок резервного копіювання конфігурації HAProxy та SSL-сертифікатів..."

# Копіювання конфігів HAProxy
cp /etc/haproxy/haproxy.cfg "$BACKUP_DIR/"
cp -R /etc/haproxy/certs "$BACKUP_DIR/" # Копіювання об'єднаного PEM-файлу
# Копіювання оригінальних Let's Encrypt сертифікатів
cp -R /etc/letsencrypt/live/your_domain.com "$BACKUP_DIR/letsencrypt_certs" # Замініть на ваш домен

# Створення архіву
tar -czf "$BACKUP_DIR/$ARCHIVE_NAME" -C "$BACKUP_DIR" .

echo "Архів створено: $BACKUP_DIR/$ARCHIVE_NAME"

# Надсилання архіву на віддалений сервер
if rsync -avz "$BACKUP_DIR/$ARCHIVE_NAME" "$REMOTE_DEST"; then
    echo "Резервна копія успішно надіслана на $REMOTE_DEST"
else
    echo "Помилка при надсиланні резервної копії на $REMOTE_DEST"
    exit 1
fi

# Очищення тимчасових файлів
rm -rf "$BACKUP_DIR"

echo "Резервне копіювання завершено."

Зробіть скрипт виконуваним:

sudo chmod +x /usr/local/bin/backup_haproxy.sh

Налаштування Cron для автоматичного запуску

Додайте скрипт у Cron для щоденного або щотижневого запуску.

sudo crontab -e

Додайте наступний рядок для щоденного запуску о 3:00 ночі:

0 3    /usr/local/bin/backup_haproxy.sh > /var/log/haproxy_backup.log 2>&1

sudo systemctl list-timers | grep certbot

# Цей скрипт можна додати в cron після автоматичного продовження Certbot
#!/bin/bash
DOMAIN="your_domain.com" # Замініть на ваш домен
CERT_PATH="/etc/letsencrypt/live/$DOMAIN"
HAPROXY_CERT_PATH="/etc/haproxy/certs/$DOMAIN.pem"

if [ -f "$CERT_PATH/fullchain.pem" ] && [ -f "$CERT_PATH/privkey.pem" ]; then
    sudo cat "$CERT_PATH/fullchain.pem" "$CERT_PATH/privkey.pem" | sudo tee "$HAPROXY_CERT_PATH" > /dev/null
    sudo chmod -R go-rwx /etc/haproxy/certs
    sudo systemctl reload haproxy
    echo "HAProxy SSL-сертифікат оновлено та HAProxy перезавантажено."
else
    echo "Помилка: Сертифікати Let's Encrypt не знайдено для $DOMAIN."
fi