haproxy4-acl配置

Posted 2021-11-02 huxl1

访问控制设定：

匹配后可进行那些操作：

　　Use _backend ：   当符合条件时使用特定的backend后端，

　　　　Use_backend  <backend> [{if | unless}  <condition>]

　　Block             阻塞

　　　　Block {if | unless} <condition>

Acl  invalid_src  src  172.16.200.2   定义acl匹配
Block  if invalid_src               若来自这个地址进行阻塞
Errorfile  403  /etc/fstab       定义错误页

例如1

　　http-request :         http请求

　　　　http-request {allow  | deny} [{ if | unless}  <condition>]

　　tcp-request：

　　　　tcp-request  connection {allow | deny} [{if | unless}  <condition>]

acl：这里他的匹配条件有多种，可以使原地址，也可以是目标地址，目标端口，请求的资源类型，使用的方法等一切

格式：

　　Acl  <name> < 检查哪些内容> [flags]  [operator条件] [<value>]

contion检查条件：

         Dst ： ip     检查后端的ip

         Dst_port :     检查后端的端口

         Dst_conn     检查后端的套接字

         Src   ：  ip   检查原ip

         Src_port       检查原端口

fLags ： 

         -i ： 忽略字符大小写

         -m： 使用特定匹配方式

         -n ： 禁止主机名反解

         -u ： acl不能与其他acl同名

         --  :  表示结束标志位

Operator：

         整数： eq  ge  gt  le  lt

         字符串：（之前）

                   -m  str  ： 精确匹配

                   -m  sub  ： 子串匹配

                   -m  beg  ： 前缀匹配

                   -m  end  :   后缀匹配

                   -m  dir   ： 路径匹配

                   -m  con  ： 域名匹配

         Acl作为条件时的逻辑关系：

       ··         And             与

                   Or   ||  　　或

                   非  ！          非

　

<value> 的类型可以是：

         Boolean ： 布尔值

         Int  ：   整数或一个整数范围

         Ip   ：   ip地址

         Str   ：   是一个字符串  进行匹配，有多重匹配方式

如  acl  invalid_src  src   172.16.200.2   检查原目标地址 是172.16.200.2 就符号条件

如：
定义一个acl： acl  allowstats  src  172.168.200.2   定义acl匹配原ip
定义一个配置后的规则： block   if  ！ allowstats    阻塞除上原ip之外的其他地址访问
在阻塞后自定义错误页：
 errorloc  403  http://172.16.0.67:10080/errorloc/403.html
            
http-request  allow  if  allowstats  : 来自acl定义的这个运行访问

七层的匹配标准有：

　　

Path 路径 （/imgs/logs/log.jpg）

                   Path：  精确匹配                                   (path /imgs/logs/log.jpg )

                   Path_beg  :前缀匹配                               (path_beg  /imgs)

                   Path_end  : 后缀匹配                            (path_end  .jpg)

                   Path_reg : z正则表达式模式匹配      (path_reg  ^/imgs/*)

                   Path_sub : 子串匹配                               (path_sub   logs)

                   Path_dir  ： 子路径匹配                      （path_dir  logs/log.ipg）

                   Path_dom :  域名子串匹配

如;

         Acl  static  path_end  .jpg  .jpeg  .git  .txt  .html

         Usr_backend  staticserver( 后面定义的特定后端)  if   static   如果是acl中定义的就调用staticserver这个后端

url  : str

                   url : 精确url  匹配

                   url_beg

                   url_end

                   url_dir

                   url_reg

                   url_sub

                   url_dom

req.hdr    :请求报文的指定首部

                   hdr : 精确url  匹配

                   hdr_beg

                   hdr _end

                   hdr _dir

                   hdr _reg

                   hdr _sub

                   hdr _dom

如：

         Acl  bad_curl  hdr_sub(user-Agent)  -i  curl   请求报文首部包含cutl这个字符串的请求

         Block  if  bad_curl                                   拒绝curl 访问