Algemene instellingen #

Let op: Epoxy is een geavanceerde functie en er wordt nog hard aan gewerkt. Daarom worden er zo snel mogelijk enkele geavanceerde opties toegevoegd.

Het Eproxy-profiel is verantwoordelijk voor het beheren van content switching op de applicatielaag van het OSI-model. Het ondersteunt HTTP-, HTTPS- en HTTP/2-protocollen, wat zorgt voor efficiënte verwerking van verkeer voor moderne webapplicaties. Daarnaast biedt het profiel hot restart-functionaliteit, wat naadloze updates en configuratiewijzigingen mogelijk maakt zonder actieve verbindingen te verstoren.

In het gedeelte rechtsboven hebben we 2 indicatoren. Acties knoppen en de Status.
Vierkante doos: Wanneer erop wordt geklikt, stopt de LSLB-boerderij.
Knop Vernieuwen: Wanneer u hierop klikt, wordt de farm opnieuw gestart (eerst stoppen en dan starten).
Play knop: Als de boerderij uitgeschakeld of inactief is, wordt deze gestart wanneer erop wordt geklikt.

Elk van de hieronder beschreven kleuren vertegenwoordigt de Status van een gegeven Boerderij:
Groen: Betekent dat de boerderij is UP en alle backends zijn actief. Het kan ook betekenen dat er een omleiding is geconfigureerd.
Rood: Betekent dat de boerderij is DOWN of het is niet functioneel.
Zwart: Geeft een aan KRITISCHE schade. Dit gebeurt meestal als een farm UP is, maar er geen backend beschikbaar is, of als deze zich in de onderhoudsmodus bevindt.
Blauw: Toont wanneer er een is PROBLEEM. De farm kan actief zijn, maar wanneer ten minste één backend niet beschikbaar is.
Oranje: Vertegenwoordigt ONDERHOUD. Toont wanneer de farm actief is, maar minstens één backend zich in de onderhoudsmodus bevindt.

Deze kleurcodes worden consequent gebruikt in de gehele grafische gebruikersinterface. Raadpleeg het LSLB Farm-gedeelte voor een beknopte uitleg.

In het Eproxy farms-profiel wordt de HTTP-header X-Forwarded-For automatisch ingevuld met het IP-adres van de client.

Momenteel wordt alleen een standaardservice met virtuele host en padpatroonmatching ondersteund.

Basis configuratie #

Hieronder staan ​​de basisparameters voor het Eproxy-farmprofiel.

Naam . Dit is een naam waarmee een boerderij gemakkelijk te identificeren is. Om de naam van een boerderij te wijzigen, moet u deze eerst stopzetten. Zorg ervoor dat de nieuwe naam nog niet in gebruik is.

Virtueel IP-adres en poort . Dit zijn de virtuele IP-adressen en poortparen waarop de farm luistert naar inkomende verbindingen. De nieuwe combinatie van IP-adres en poort moet ongebruikt en beschikbaar zijn voordat deze geconfigureerd kan worden.

Luisteraar . In dit veld wordt het Layer 7-protocol gespecificeerd dat gebruikt moet worden voor het schakelen tussen componenten.

• HTTP. De virtuele service ontvangt alleen gewone HTTP-inhoud.
• HTTPS. De virtuele service ontvangt Secure HTTP-inhoud met HTTP2 Application-Layer Protocol Negotiation (ALPN), beheert SSL-handshakes, verwerkt veilige cipher-configuraties en SSL-certificaten om SSL-offloading uit te voeren. Dit ontlast de echte applicatieservers van deze zware taken. Deze modus kan ook worden gebruikt als HTTP/2 naar HTTP/1.1-gateway en vice versa.
• TCPDe virtuele service ontvangt onbewerkte TCP-gegevens en wordt doorgestuurd naar de back-ends als onbewerkte TCP of via SSL als de optie SSL-back-ends is ingeschakeld.
• TCP over SSLDe virtuele service verwerkt SSL TCP-verbindingen en de ontvangen gegevens worden doorgestuurd naar de backends als raw TCP of via SSL als de optie SSL backends is ingeschakeld.

SSL-parameters #

De SSL-parameters vindt u hieronder.

Schakel TLSv1 uit , schakel TLSv1.1 uit , schakel TLSv1.2 uit , schakel TLSv1.3 uit . Elk van deze schakelaars schakelt de bijbehorende SSL- of TLS-versie in of uit. Het uitschakelen van een van de protocollen wordt afgeraden, omdat de bijbehorende versleutelingsmethoden dan ook worden uitgeschakeld.

Versleuteling . In dit gedeelte stellen we lijsten samen van versleutelingen die we gebruiken om een ​​SSL-verbinding te versterken. Voordat een client en server informatie uitwisselen die beschermd wordt door het TLS-protocol, moeten ze op veilige wijze een versleutelingssleutel en een versleutelingssysteem uitwisselen of overeenkomen die gebruikt zullen worden voor het versleutelen van gegevens.

Om een ​​cijfer voor gebruik te configureren, selecteert u een van de volgende opties.

• Alles. Als deze opdracht is geselecteerd, beheert de luisterende HTTP(S)-farm alle beschikbare coderingssuites. Dit is de standaardinstelling.
• Hoge beveiliging. Met deze opdracht zijn de volgende cijfers mogelijk:

kEECDH+ECDSA+AES128:kEECDH+ECDSA+AES256:kEECDH+AES128:kEECDH+AES256:kEDH+AES128:kEDH+AES256:DES-CBC3-SHA:+SHA:!aNULL:!eNULL:!LOW:!kECDH:!DSS:!MD5:!EXP:!PSK:!SRP:!CAMELLIA:!SEED

Door deze optie in te schakelen, profiteert u van een beveiliging die sterk genoeg is om een ​​A+ score te behalen bij SSL Labs.

• Beveiliging op maat. Met deze opdracht kunt u uw eigen cijfers aanpassen via de Aangepaste cijfers veld.
• Aangepaste cijfers. Met deze opdracht kunt u specifieke codes aanpassen om het maken van een SSL-verbinding toe te staan ​​of te verbieden. Het moet een string zijn in hetzelfde formaat als in OpenSSL-coderingen . Deze opdracht wordt weergegeven als Beveiliging op maat is ingesteld.
• AES SSL HW-offloading. Met deze optie kunnen de AES-codes via hardware worden overgebracht als de processor dit toestaat aes vlag. Hierdoor kunnen de prestaties van de SSL-codering/decoderingstaak worden geoptimaliseerd. Test of deze optie compatibel is met uw huidige CPU door de volgende opdracht uit te voeren. Als de CPU-vlaggen worden weergegeven, kan deze worden gebruikt.

root@noid-ee-02:~# grep "flags.* aes" /proc/cpuinfo

Beschikbare certificaten : Dit zijn de SSL-certificaten die op het apparaat zijn geïnstalleerd. Om een ​​certificaat in te schakelen, selecteert u het en klikt u op de pijlknop of sleept u het vanuit het vak ' Beschikbaar' naar het vak ' Ingeschakeld '. U kunt ook meerdere certificaten of alle certificaten in- of uitschakelen.

Ingeschakelde certificaten : Deze lijst toont de certificaten die momenteel door de farm worden gebruikt. U kunt ze naar boven of naar beneden verplaatsen met de dubbele pijltoetsen omhoog/omlaag, of ze allemaal uitschakelen. Let op de volgorde van de certificaten; als een wildcardcertificaat vóór een hostcertificaat wordt geplaatst, wordt de wildcard eerst gebruikt.

geavanceerde instellingen #

Logs: schakel logboeken voor boerderijverkeer in of uit om fouten op te sporen en het verkeer dat door de load balancer gaat te analyseren.
Time-out voor backend-verbinding: Deze waarde stelt de tijd in die de farm zal wachten op een verbinding met de backend, meestal de wachttijd bij het openen van de socket, in seconden. De standaardwaarde is 10 seconden.
Time-out voor back-endreactie: Met deze waarde wordt de tijd in seconden ingesteld die de farm wacht op een reactie van de backend. De standaardwaarde is 30 seconden.
Time-out clientverzoek: Deze waarde stelt de tijd in die de boerderij wacht op een verzoek van een klant. Als er binnen deze time-outperiode geen gegevens worden ontvangen, wordt de verbinding verbroken. De standaardwaarde is 20 seconden.

Diensteninstellingen #

Eproxy-farms met TCP- of TCP over SSL- listeners staan ​​slechts één service toe . Maar wanneer HTTP/S -listeners worden gebruikt, maken de services binnen de Eproxy-farm content-switching mogelijk voor virtuele webservices, waardoor meerdere webapplicaties onder hetzelfde virtuele IP-adres en poort worden geconsolideerd . Deze configuratie vergemakkelijkt het gecentraliseerde beheer van webapplicaties , virtuele hostconfiguraties , URL-beheer en persistentie- en backendconfiguraties per service . Elke service in een LSLB-farm bevat eigenschappen voor health checks, persistentie, headerbeheer en een backendlijst. Reguliere expressies kunnen worden toegepast om te voldoen aan voorwaarden die bepalen welke service elk verzoek afhandelt.

Het Eproxy-farmprofiel evalueert servicematchvoorwaarden in prioriteitsmodus (wijzigbaar indien nodig). Als er geen service overeenkomt, retourneert de farm een ​​HTTP-fout 503. Daarom wordt het definiëren van meerdere services met specifieke voorwaarden ondersteund. Verzoeken matchen services op basis van virtuele host- en/of URL-patronen.

De standaardservice is vooraf geladen en komt overeen met alle virtuele hosts en padpatronen.

De voorwaarden waaraan moet worden voldaan zijn:

Virtuele host . Met deze functie kunt u een voorwaarde definiëren op basis van de domeinnaam, waarbij hetzelfde virtuele IP-adres en dezelfde poort binnen een Eproxy-farm worden gebruikt. Als u deze voorwaarde wilt verwijderen, kunt u het veld leeg laten. Reguliere expressies in PCRE- formaat worden in dit veld ondersteund.

URL-patroon . Dit veld dient om een ​​webservice te identificeren op basis van het URL-pad dat de client opvraagt. De URL wordt gecontroleerd aan de hand van een vooraf bepaald patroon, waarbij de syntaxis wordt getoetst. Indien u deze voorwaarde niet wilt toepassen, kunt u het veld leeg laten. Reguliere expressies in PCRE- formaat worden in dit veld ondersteund, waardoor geavanceerde patroonherkenning mogelijk is.

De waarden voor de virtuele host en het URL-patroon zijn reguliere expressies. Indien leeggelaten, wordt elke waarde geaccepteerd. Beide velden moeten overeenkomen, anders wordt de volgende service overgeslagen. Het is aanbevolen om ten minste één van beide te gebruiken; deze dient als standaardwaarde als er onderaan geen overeenkomst wordt gevonden.

Volharding #

Deze parameter definieert hoe de HTTP-service clientsessies beheert en bepaalt welke HTTP-verbindingen worden onderhouden om stabiele clientsessies te garanderen. Zodra een type volhardingssessie is geselecteerd, wordt de Time To Live (TTL) ervan in seconden weergegeven.

Geen doorzettingsvermogen. Met deze optie kunnen HTTP- of HTTPS-verzoeken worden afgeleverd bij echte servers zonder clientsessies te beheren.
HEADER: een verzoekheader. Een aangepast veld voor de HTTP-header kan worden gebruikt om de clientsessie te identificeren. De persistentiesessie Time To Life en de persistentiesessie-ID moeten worden geconfigureerd. Bijvoorbeeld:

               GET /index.html HTTP/1.1 Host: www.example.org
               X-sessie: 75HRSd4356SDBfrte

Cookie-invoeging #

Indien geconfigureerd, genereert de load balancer in elk antwoord een cookie met de juiste backend-sleutel. Dit zorgt ervoor dat zelfs als de sessietabel wordt leeggehaald of sessies worden uitgeschakeld, de juiste backend nog steeds wordt geselecteerd. Deze functie maakt het overbodig om de servercode aan te passen om een ​​sessiecookie aan te maken.

De cookienaam specificeert de naam van de cookie die wordt aangemaakt en opgenomen in het clientverzoek of de backend-respons. Het cookiepad definieert de URI of het relatieve pad waar de nieuwe cookie wordt geplaatst. Om de cookie voor het hele domein te gebruiken, stelt u dit veld dienovereenkomstig in. Het cookiedomein geeft het domein aan waar de cookie wordt geplaatst. Ten slotte geeft de cookie-TTL het aantal seconden aan dat de cookie actief blijft tussen de client en de backend. Deze waarde moet groter zijn dan 0 en heeft betrekking op de periode zonder activiteit. Zodra de opgegeven tijd zonder activiteit is verstreken, verloopt de persistentiesessie die aan de cookie is gekoppeld.

SSL-backends . Dit selectievakje geeft aan de serverfarm aan dat de backendservers die in de huidige service zijn gedefinieerd, het TLS-protocol gebruiken, zodat de gegevens worden versleuteld voordat ze worden verzonden.

backends #

Wat de backends betreft , biedt het Eproxy-farmprofiel de mogelijkheid om de volgende eigenschappen te configureren: Alle backends moeten IPv4 of IPv6 ondersteunen en dezelfde IP-versie hebben als het farm-VIP. HTTP/1.1- of HTTP/2-backendservices worden ondersteund.

Back-end toevoegen #

Door de Acties menuknop, zijn de volgende acties beschikbaar voor een of meer geselecteerde backends:
Backend toevoegen. Met deze opdracht wordt het formulier voor het maken van de backend geopend.

Backend-lijst #

Acties . Gebruik de volgende acties om de backends te beheren:

• Verwijdering . Configuraties van een geselecteerde virtuele service verwijderen. De alias wordt niet verwijderd als die er is.

Alias. Backend-alias, als er een alias is geselecteerd.
IP. Het IP-adres van een bepaalde backend.
Haven. Het poortnummer van de huidige echte server.
Timeout. De tijd die een backend nodig heeft om te reageren. Deze waarde overschrijft de parameter van de globale backend-verbindingstime-out, maar is beperkt tot deze geselecteerde farm.
Gewicht. De gewichtswaarde voor de huidige echte server. Meer gewicht geeft aan dat er meer verbindingen worden geleverd aan de huidige backend. Standaard wordt een gewichtswaarde van 1 ingesteld. Het beschikbare waardenbereik loopt van 1 tot 9.
Status. De mogelijke waarden zijn:

• Up. De farm draait en de backend is klaar om verbindingen te ontvangen.
• Beneden. De farm is actief en de service heeft gedetecteerd dat de backend niet werkt
• Onderhoud. Backend is door de beheerder gemarkeerd als niet gereed voor het ontvangen van verbindingen. Deze optie is handig voor onderhoudstaken van de backend
• Onbepaald. De backendstatus is niet gecontroleerd.

Prioriteit . De prioriteitswaarde voor de huidige actieve server. Lagere waarden hebben een hogere prioriteit. De standaard serviceprioriteitswaarde is 1. Wanneer een backend uitvalt, wordt de serviceprioriteit met 1 verhoogd. Wanneer de backend weer operationeel is, wordt de serviceprioriteitswaarde met 1 verlaagd. Actieve backends hebben prioriteitswaarden die lager of gelijk zijn aan de serviceprioriteit.