Haproxy基于ACL做访问控制

author：JevonWei

版权声明：原创作品

haproxy配置文档 https://cbonte.github.io/haproxy-dconv/

基于ACL做访问控制(四层代理)

网络拓扑

环境

前端HAProxy 172.16.253.108

后端web1    172.16.253.105

后端web2    172.16.252.1

client      172.16.253.177

安装HAProxy

HAProxy

[root@HAProxy ~]# yum install haproxy -y

[root@HAProxy ~]# rpm -ql haproxy

[root@HAProxy ~]# iptables -F

[root@HAProxy ~]# setenforce 0

[root@HAProxy ~]# systemctl enable haproxy

[root@HAProxy ~]# cp /etc/haproxy/haproxy.cfg{,.bak}

[root@HAProxy ~]# vim /etc/haproxy/haproxy.cfg

web1

[root@web1 ~]# yum -y install httpd

[root@web1 ~]# vim /var/www/html/index.html

<h1> Backend Server 1 </h1>

[root@web1 ~]# systemctl start httpd

[root@web1 ~]# setenforce 0

[root@web1 ~]# iptables -F

web 2

[root@web2 ~]# yum -y install httpd

[root@web2 ~]# vim /var/www/html/index.html

<h1> Backend Server 2 </h1>

[root@web2 ~]# service httpd start

[root@web2 ~]# setenforce 0

[root@web2 ~]# iptables -F

block阻塞主机访问

172.16.251.196用户访问stats状态界面，并显示错误网页http://172.16.253.108:10080/403.html

HAProxy

[root@HAProxy ~]# vim /etc/haproxy/haproxy.cfg

    frontend myweb *:80

        default_backend websrvs

    backend websrvs

        balance roundrobin

        server srv1 172.16.253.105:80 check weight 2

        server srv2 172.16.252.1:80 check weight 1

    listen stats

        bind *:9000

        acl allowstats src 172.16.251.196

        block if allowstats  \\阻塞allowstats中的IP访问stats界面

        errorloc 403 http://172.16.253.108:10080/403.html

        stats enable

        stats uri /myproxy?admin

        stats realm "HAProxy Stats Page"

        stats auth admin:admin

        stats admin if TRUE

[root@HAProxy ~]# systemctl restart haproxy

访问测试

172.16.251.196使用浏览器访问测试http://172.16.253.108:10080/403.html

http-request允许某主机访问stats状态界面

允许172.16.251.196用户访问http://172.16.253.108服务器的HAProxy的状态界面

HAProxy

[root@HAProxy ~]# vim /etc/haproxy/haproxy.cfg

    frontend myweb *:80

        default_backend websrvs

    backend websrvs

        balance roundrobin

        server srv1 172.16.253.105:80 check weight 2

        server srv2 172.16.252.1:80 check weight 1

    listen stats

        bind *:9000

        acl allowstats src 172.16.251.196

        # http-request allow if allowstats  \\允许allowstats中的IP访问stats状态界面

        http-request deny  unless allowstats \\除了allowstats之外全部拒绝访问，即仅允许allowstats访问

        # http-request deny if allowstats \\拒绝allowstats访问

        errorloc 403 http://172.16.253.108:10080/403.html \\错误网页文件

        stats enable

        stats uri /myproxy?admin

        stats realm "HAProxy Stats Page"

        stats auth admin:admin

        stats admin if TRUE

[root@HAProxy ~]# systemctl restart haproxy

访问测试

图形化浏览器

    172.16.251.196使用浏览器访问测试http://172.16.253.108:10080/403.html

字符界面

    [root@client ~]# curl --basic --user admin:admin http://172.16.253.108:9000/myproxy?admin

基于ACL做访问控制(七层代理)

动态网页存放在动态服务器组中，静态网页存放在静态服务器组中

拓扑环境

环境

前端HAProxy 172.16.253.108

后端web1    172.16.253.105

后端web2    172.16.253.191

client      172.16.253.177

web1使用虚拟主机技术搭建两个web server，用来存放动态网页内荣容
web2使用虚拟主机搭建两个web server用来替代静态网页内容

web1创建虚拟主机

[root@web1 ~]# yum -y install php httpd

[root@web1 ~]# mkdir /data/web/vhost{1,2} -pv

[root@web1 ~]# vim /data/web/vhost1/index.php

<h1> Application Server 1</h1>

<?php

    phpinfo();

?>

[root@web1 ~]# vim /data/web/vhost2/index.php

<h1> Application Server 2</h1>

<?php

    phpinfo();

?>

虚拟主机1的配置文件

[root@web1 ~]# vim /etc/httpd/conf.d/vhost1.conf \\编辑vhost1虚拟主机的配置文件

<VirtualHost *:80>

    ServerName www1.danran.com

    DocumentRoot "/data/web/vhost1"

    <Directory "/data/web/vhost1">

            Options FollowSymLinks \\允许使用连接文件目录

            AllowOverride None \\不允许其他配置文件覆盖此文件中的设置

            Require all granted

    </Directory>

</VirtualHost>

虚拟主机2的配置文件

[root@web1 ~]# vim /etc/httpd/conf.d/vhost2.conf

[root@web1 ~]# vim /etc/httpd/conf.d/vhost2.conf

Listen 8080

<VirtualHost *:8080>

    ServerName www2.danran.com

    DocumentRoot "/data/web/vhost2"

    <Directory "/data/web/vhost2">

            Options FollowSymLinks

            AllowOverride None

            Require all granted

    </Directory>

</VirtualHost>

[root@web1 ~]# systemctl restart httpd.service

[root@web1 ~]# ss -ntl

web2创建虚拟主机

[root@web2 ~]# yum -y install httpd

[root@web2 ~]# mkdir -pv /data/web/vhost{1,2}

[root@web2 ~]# find /usr/share/ -iname "*.jpg" -exec cp {} /data/web/vhost1/ \;

[root@web2 ~]# find /usr/share/ -iname "*.jpg" -exec cp {} /data/web/vhost2/ \;

[root@web2 ~]# vim /data/web/vhost1/index.html

<h1> Image Server 1 </h1>

[root@web2 ~]# vim /data/web/vhost2/index.html

<h1> Image Server 2 </h1>

编辑虚拟主机1的配置文件

[root@web2 ~]# vim  /etc/httpd/conf.d/vhost1.conf

<VirtualHost *:80>

    ServerName www1.danran.com

    DocumentRoot "/data/web/vhost1"

    <Directory "/data/web/vhost1">

            Options FollowSymLinks

            AllowOverride None

            Require all granted

    </Directory>

</VirtualHost>

编辑虚拟主机2的配置文件

[root@web2 ~]# vim  /etc/httpd/conf.d/vhost2.conf

Listen 8080

<VirtualHost *:8080>

    ServerName www2.danran.com

    DocumentRoot "/data/web/vhost1"

    <Directory "/data/web/vhost1">

            Options FollowSymLinks

            AllowOverride None

            Require all granted

    </Directory>

</VirtualHost>

[root@web2 ~]# systemctl start httpd.service

HAProxy

[root@HAProxy ~]# vim /etc/haproxy/haproxy.cfg

    frontend myweb *:80

        cookie WEBSRV indirect nocache

        acl static path_end .jpg .jpeg .png .gif .txt .html \\定义ACL的组static以.jpg .jpeg .png .gif .txt .html结尾的文件

        use_backend staticsrvs  if static  \\当符合条件时使用static主机组

        default_backend dynsrvs  \\当不符合use_bckend条件时使用默认default_backend主机组

        backend dynsrvs \\定义动态主机组

            balance roundrobin

            server dynsrv1 172.16.253.105:80 check cookie dynsrv1

            server dynsrv2 172.16.253.105:8080 check cookie dynsrv2

        backend staticsrvs  \\定义静态主机组

            balance roundrobin

            server staticsrv1 172.16.253.191:80 check

            server staticsrv2 172.16.253.191:8080 check

[root@HAProxy ~]# systemctl restart haproxy

client

[root@client ~]# curl http://172.16.253.108/index.html

<h1> Image Server 1 </h1>

[root@client ~]# curl http://172.16.253.108/index.html

<h1> image Server 2 </h1>

[root@client ~]# curl http://172.16.253.108/index.php

<h1> Application Server 2</h1>

[root@client ~]# curl http://172.16.253.108/index.php

<h1> Application Server 2</h1>

拒绝curl访问web

HAProxy

[root@HAProxy ~]# vim /etc/haproxy/haproxy.cfg

    frontend myweb *:80

        cookie WEBSRV indirect nocache

        acl static path_end .jpg .jpeg .png .gif .txt .html \\定义ACL的组static以.jpg .jpeg .png .gif .txt .html结尾的文件

        use_backend staticsrvs  if static  \\当符合条件时使用static主机组

        default_backend dynsrvs  \\当不符合use_bckend条件时使用默认default_backend主机组

        acl bad_browsers hdr_reg(User-Agent) .*curl.* \\定义请求报文中包含curl的ACL组为bad_browsers

        block if bad_browsers \\阻塞bad_browsers组的访问

        backend dynsrvs \\定义动态主机组

            balance roundrobin

            server dynsrv1 172.16.253.105:80 check cookie dynsrv1

            server dynsrv2 172.16.253.105:8080 check cookie dynsrv2

        backend staticsrvs  \\定义静态主机组

            balance roundrobin

            server staticsrv1 172.16.253.191:80 check

            server staticsrv2 172.16.253.191:8080 check

[root@HAProxy ~]# systemctl restart haproxy

client

[root@client ~]# curl http://172.16.253.108/index.html

<html><body><h1>403 Forbidden</h1>

Request forbidden by administrative rules.

</body></html>

定义仅允许danran.com域内的的主机访问

HAProxy

[root@HAProxy ~]# vim /etc/haproxy/haproxy.cfg

    frontend myweb *:80

        cookie WEBSRV indirect nocache

        acl static path_end .jpg .jpeg .png .gif .txt .html \\定义ACL的组static以.jpg .jpeg .png .gif .txt .html结尾的文件

        use_backend staticsrvs  if static  \\当符合条件时使用static主机组

        default_backend dynsrvs  \\当不符合use_bckend条件时使用默认default_backend主机组

        acl valid_referers hdr_reg(Referer) \.danran\.com

        block unless valid_referers \\阻塞除了valid_referers组之外的所有人的访问

        backend dynsrvs \\定义动态主机组

            balance roundrobin

            server dynsrv1 172.16.253.105:80 check cookie dynsrv1

            server dynsrv2 172.16.253.105:8080 check cookie dynsrv2

        backend staticsrvs  \\定义静态主机组

            balance roundrobin

            server staticsrv1 172.16.253.191:80 check

            server staticsrv2 172.16.253.191:8080 check

[root@HAProxy ~]# systemctl restart haproxy

client

模拟www.danran.com主机访问

[root@client ~]# curl -e "http://www.danran.com/index.php" http://172.16.253.108/index.php

<h1> Application Server 2</h1>

Haproxy基于ACL做访问控制的更多相关文章

HAProxy（二）：HAProxy的ACL规则实现智能负载均衡详解与示例
一.HAProxy的ACL的功能 ACL(Access Control List)访问控制列表,HAProxy中的ACL的匹配条件和控制条件有许多种,功能很强大,可以通过源地址.源端口.目标地址.目标 ...
RBAC （基于角色的访问控制）
基于角色的访问控制(Role-Based Access Control)作为传统访问控制(自主访问,强制访问)的有前景的代替受到广泛的关注.在RBAC中,权限与角色相关联,用户通过成为适当角色的成员而 ...
haproxy利用ACL规则封禁自定义ＩＰ地址拒绝访问
现在有一个需求就是在发版的时候希望除公司IP外的外网访问服务的时候都是拒绝访问的现在利用haproxy 的acl规则作出限制 errorfile 403 /etc/haproxy/err ...
RBAC基于角色的访问控制
RBAC(Role-Based Access Control,基于角色的访问控制),就是用户通过角色与权限进行关联.简单地说,一个用户拥有若干角色,每一个角色拥有若干权限.这样,就构造成"用 ...
RBAC（Role-Based Access Control，基于角色的访问控制）
RBAC(Role-Based Access Control,基于角色的访问控制),就是用户通过角色与权限进行关联.简单地说,一个用户拥有若干角色,每一个角色拥有若干权限.这样,就构造成“用户-角色- ...
haproxy 常用acl规则与会话保持
一.常用的acl规则 haproxy的ACL用于实现基于请求报文的首部.响应报文的内容或其它的环境状态信息来做出转发决策,这大大增强了其配置弹性.其配置法则通常分为两步,首先去定义ACL,即定义一个 ...
YIi 权限管理和基于角色的访问控制
验证和授权(Authentication and Authorization) 定义身份类 (Defining Identity Class) 登录和注销(Login and Logout) 访问控制 ...
RBAC（Role-Based Access Control)基于角色的访问控制
RBAC(Role-Based Access Control,基于角色的访问控制),就是用户通过角色与权限进行关联.简单地说,一个用户拥有若干角色,每一个角色拥有若干权限.这样,就构造成"用 ...
移动服务和 Azure Active Directory 中基于角色的访问控制
编辑人员注释:本文章由 Matthew Henderson撰写去年 11月,我们发布了 Azure Active Directory (AAD) 预览版作为移动服务身份提供程序.此举旨在为企业开 ...

随机推荐

TypeScript 异步代码类型技巧
在typescript下编写异步代码,会遇到难以自动识别异步返回值类型的情况,本文介绍一些技巧,以辅助编写更健全的异步代码. callback 以读取文件为例: readFile是一个异步函数,包含p ...
前端数据存储方案集合（cookie localStorage等）以及详解（二）
前端数据存储方案集合(cookie localStorage等)以及详解 (二) 在之前的文章中已经介绍到了前端存储方案中的 cookie . 但是 cookie 的存储上限是 4KB. 如果超过了 ...
R读取excel文件乱码 read.xlsx() 解决方法
1. 参考[R语言]R读取含中文excel文件,read.xlsx乱码问题该文章总结得很好,可以直接跳到最后看博主的总结. 2. 如果依旧是乱码那么用read.xlsx2()去读取excel文件, ...
Redis-aof持久化
什么是redis的aof? aof 是 appendonly file 的缩写, 是redis系统提供的一种记录redis操作的持久化方案, 在aof生成的文件中, 将记录发生在redis的操作, 从 ...
C++ STL list详解
一.解释: list是一种序列式容器.list容器完成的功能实际上和数据结构中的双向链表是极其相似的,list中的数据元素是通过链表指针串连成逻辑意义上的线性表,list不仅是一个双向链表,而其还是一 ...
Handler实现线程之间的通信-下载文件动态更新进度条
1. 原理每一个线程对应一个消息队列MessageQueue,实现线程之间的通信,可通过Handler对象将数据装进Message中,再将消息加入消息队列,而后线程会依次处理消息队列中的消息. 2. ...
(3)markdown软件的使用
运行Mou.zip解压出来一个软件,它让托到应用程序中,然后打开另一种软件为gitBook 安装好软件后,使用快捷键F4可以调出所有的应用程序使用md(markdown简称)有个缺点就是,当内容比 ...
万能头文件#include
#include<bits/stdc++.h>包含了目前c++所包含的所有头文件!!!! 测试结果POJ不支持HDU,NYOJ支持
js数组遍历和对象遍历
针对js各种遍历作一个总结分析,从类型用处:分数组遍历和对象遍历:还有性能,优缺点等. JS数组遍历: 1,普通for循环,经常用的数组遍历 var arr = [1,2,0,3,9]; for ( ...
pythonchallenge
# _*_ coding:utf-8 _*_ translated = '' message = 'g fmnc wms bgblr rpylqjyrc gr zw fylb. rfyrq ufyr ...

Haproxy基于ACL做访问控制

基于ACL做访问控制(四层代理)

安装HAProxy

基于ACL做访问控制(七层代理)

拒绝curl访问web

定义仅允许danran.com域内的的主机访问

Haproxy基于ACL做访问控制的更多相关文章

随机推荐

热门专题