HAProxy: กระจายโหลดเว็บไปสองเครื่องพร้อม Health Check

HAProxy คือซอฟต์แวร์ Load Balancer แบบโอเพนซอร์สที่รับคำขอจากผู้ใช้แล้วกระจายไปยังเว็บเซิร์ฟเวอร์หลายเครื่อง พร้อมตรวจสุขภาพ (Health Check) ของแต่ละเครื่องอยู่ตลอด ถ้าเครื่องไหนล่ม HAProxy จะหยุดส่งงานไปเครื่องนั้นเองภายในไม่กี่วินาที เหมาะกับเว็บที่โหลดเกินกว่าเครื่องเดียวรับไหว หรือเว็บที่ต้องอัปเดตระบบโดยไม่ปิดหน้าเว็บ

คู่มือนี้ตั้งเครื่อง lb01 ให้รับทราฟฟิกที่ 203.0.113.10 แล้วกระจายไป web01 (10.10.0.11) และ web02 (10.10.0.12) ผ่านเครือข่ายภายใน เมื่อจบคุณจะมี Health Check ที่ใช้งานได้จริง หน้า Stats ที่เปิดได้เฉพาะผู้ดูแล วิธีทำ Sticky Session และทางเลือกให้ HAProxy ถือใบรับรอง HTTPS

สิ่งที่ต้องเตรียม

• Cloud Server สามเครื่องในเครือข่ายภายในเดียวกัน: lb01 ที่มี Public IP และเว็บเซิร์ฟเวอร์สองเครื่องที่ติดตั้ง Nginx และไฟล์เว็บชุดเดียวกัน (ดู ติดตั้ง LEMP)
• ระบบปฏิบัติการ Ubuntu 22.04/24.04, Debian 12 หรือ AlmaLinux/Rocky Linux 9 และสิทธิ์ sudo
• ข้อมูล Session ของแอปไม่ควรเก็บเป็นไฟล์ในเครื่อง ควรย้ายไป Redis หรือฐานข้อมูลกลาง ไม่เช่นนั้นผู้ใช้จะหลุดล็อกอินเมื่อถูกส่งไปอีกเครื่อง
• DNS ของ www.example.com ชี้มาที่ 203.0.113.10

ขั้นตอนที่ 1: เตรียมเว็บเซิร์ฟเวอร์ให้มี /health

บน web01 และ web02 เพิ่ม location สำหรับ Health Check และ Header บอกชื่อเครื่องไว้ทดสอบ (เปลี่ยน web01 ให้ตรงกับแต่ละเครื่อง) ใน server block ของ Nginx แล้ว reload

location = /health {
    access_log off;
    default_type text/plain;
    return 200 "ok\n";
}
add_header X-Served-By web01 always;

# ให้ Log ของ Nginx เห็น IP จริงของผู้ใช้แทน IP ของ lb01
set_real_ip_from 10.10.0.5;
real_ip_header X-Forwarded-For;

จากนั้นจำกัดพอร์ต 80 ของเว็บเซิร์ฟเวอร์ให้รับเฉพาะจาก lb01 เช่น sudo ufw allow from 10.10.0.5 to any port 80 proto tcp เพื่อไม่ให้ใครข้าม Load Balancer มาตรงได้

ขั้นตอนที่ 2: ติดตั้ง HAProxy บน lb01

# Ubuntu / Debian
sudo apt update && sudo apt install -y haproxy
# AlmaLinux / Rocky Linux 9
sudo dnf install -y haproxy

haproxy -v
sudo cp /etc/haproxy/haproxy.cfg /etc/haproxy/haproxy.cfg.orig

Ubuntu 24.04 ได้รุ่น 2.8 ส่วน Ubuntu 22.04 และ AlmaLinux/Rocky 9 ได้รุ่น 2.4 การตั้งค่าในคู่มือนี้ใช้ได้กับทุกรุ่นดังกล่าว บน AlmaLinux/Rocky ไฟล์ตั้งต้นมีตัวอย่าง frontend main ที่พอร์ต 5000 และ backend static, app ให้ลบออก เหลือไว้เฉพาะ global และ defaults

ขั้นตอนที่ 3: เขียน frontend และ backend พร้อม Health Check

เพิ่มท้ายไฟล์ /etc/haproxy/haproxy.cfg โดย frontend คือฝั่งที่รับคำขอ ส่วน backend คือกลุ่มเซิร์ฟเวอร์ที่รับงานต่อ

frontend web_front
    bind *:80
    mode http
    option forwardfor
    default_backend web_servers

backend web_servers
    mode http
    balance roundrobin
    option httpchk
    http-check send meth GET uri /health ver HTTP/1.1 hdr Host www.example.com
    http-check expect status 200
    default-server inter 3s fall 3 rise 2
    server web01 10.10.0.11:80 check
    server web02 10.10.0.12:80 check

• balance roundrobin ส่งงานสลับกันทีละเครื่อง ถ้าคำขอใช้เวลานานไม่เท่ากัน เช่น รายงานหรืออัปโหลดไฟล์ ให้ใช้ leastconn ซึ่งส่งไปเครื่องที่มีการเชื่อมต่อค้างน้อยที่สุด
• inter 3s fall 3 rise 2 ตรวจทุก 3 วินาที พลาด 3 ครั้งติดถือว่าล่ม ผ่าน 2 ครั้งติดจึงรับกลับ
• option forwardfor ส่ง IP จริงของผู้ใช้ไปใน Header X-Forwarded-For

ขั้นตอนที่ 4: ตรวจไฟล์ เปิด Firewall และ reload

ตรวจไวยากรณ์ก่อนทุกครั้ง ถ้าถูกต้องจะขึ้น Configuration file is valid แล้วจึงเปิดบริการ การ reload ไม่ตัดการเชื่อมต่อที่กำลังใช้งานอยู่

sudo haproxy -c -f /etc/haproxy/haproxy.cfg
sudo systemctl enable --now haproxy
sudo systemctl reload haproxy

# Ubuntu / Debian
sudo ufw allow 80,443/tcp
# AlmaLinux / Rocky Linux 9
sudo firewall-cmd --permanent --add-service=http --add-service=https
sudo firewall-cmd --reload

ทดสอบจากเครื่องของคุณ แล้วลองหยุด Nginx บน web02 ภายในประมาณ 9 วินาทีทุกคำขอจะไปที่ web01 และ journalctl -u haproxy จะบันทึกว่า web02 เป็น DOWN

for i in 1 2 3 4; do curl -s -o /dev/null -D - http://203.0.113.10/ | grep -i x-served-by; done

frontend stats
    bind 127.0.0.1:8404
    mode http
    stats enable
    stats uri /stats
    stats refresh 10s
    stats auth admin:Ch4nge-This-Long-Passw0rd

# รันบนเครื่องของคุณ แล้วเปิด http://localhost:8404/stats
ssh -L 8404:127.0.0.1:8404 [email protected]

backend web_servers
    cookie SRV insert indirect nocache
    server web01 10.10.0.11:80 check cookie web01
    server web02 10.10.0.12:80 check cookie web02

sudo mkdir -p /etc/haproxy/certs
sudo sh -c 'cat /etc/letsencrypt/live/www.example.com/fullchain.pem \
  /etc/letsencrypt/live/www.example.com/privkey.pem > /etc/haproxy/certs/www.example.com.pem'
sudo chmod 600 /etc/haproxy/certs/www.example.com.pem

frontend web_front
    bind *:80
    bind *:443 ssl crt /etc/haproxy/certs/www.example.com.pem alpn h2,http/1.1
    mode http
    http-request redirect scheme https code 301 unless { ssl_fc }
    http-request set-header X-Forwarded-Proto https if { ssl_fc }
    option forwardfor
    default_backend web_servers

#!/bin/sh
cat "$RENEWED_LINEAGE/fullchain.pem" "$RENEWED_LINEAGE/privkey.pem" \
  > /etc/haproxy/certs/www.example.com.pem
systemctl reload haproxy