HAProxy로 고가용성과 부하 분산 구성하기: 완벽 가이드

들어가며

HAProxy란?

기존 하드웨어 로드 밸런서와의 비교

HAProxy 설치

sudo apt update

sudo apt install haproxy -y

설정 파일 구조

OpenStack High Availability Guide — openstackhaguide 0.0.1.dev854 documentation

https://docs.openstack.org/ha-guide/

Configuring stateless services — openstackhaguide 0.0.1.dev854 documentation

https://docs.openstack.org/ha-guide/control-plane-stateless.html#load-balancer

global 섹션

global
  maxconn 60000           # 최대 동시 연결 수
  log 127.0.0.1 local0    # 로그 출력 설정
  log 127.0.0.1 local1 notice
  user  haproxy           # 실행 사용자
  group haproxy           # 실행 그룹
  chroot /var/empty       # chroot 경로 (보안 강화)

주요 옵션 설명

• maxconn: HAProxy가 동시에 처리할 수 있는 최대 연결 수입니다. 서버 사양에 맞게 조절합니다.

• log: syslog 서버로 로그를 전송하는 설정입니다.

• user/group: HAProxy 프로세스가 실행될 사용자와 그룹을 지정합니다.

• chroot: 보안을 위해 HAProxy 프로세스를 특정 디렉토리로 격리합니다.

HAProxy Enterprise Documentation version 3.4r1 (1.0.0-381.448) - Configuration Manual

https://www.haproxy.com/documentation/haproxy-configuration-manual/latest/#3

defaults 섹션

defaults
  mode http              # 기본 통신 모드
  balance roundrobin     # 기본 로드 밸런싱 알고리즘

# mode 상속받음
frontend website
  bind :80
  default_backend web_servers

# mode, balance 상속받음
backend web_servers
  server s1 192.168.1.25:80
  server s2 192.168.1.26:80

# mode 덮어쓰기
frontend mysql
  mode tcp
  bind :3306
  default_backend mysql_servers

# mode, balance 덮어쓰기
backend mysql_servers
  mode tcp
  balance leastconn
  server db1 192.168.1.29:3306
  server db2 192.168.1.30:3306

주요 옵션 설명

frontend 섹션

기본 구조

frontend my_frontend
  mode http
  bind 192.168.1.5:80        # 특정 IP:Port에서 수신
  bind 192.168.1.6:80        # 여러 bind 설정 가능
  default_backend web_servers

SSL 적용 예시

frontend ssl_frontend
  mode http
  bind :80
  bind :443 ssl crt /etc/haproxy/certs/site.pem  # SSL 인증서 적용
  
  # HTTP → HTTPS 리다이렉트
  http-request redirect scheme https unless { ssl_fc }
  
  # 호스트명 기반 라우팅
  use_backend foo_servers if { req.hdr(host) -i foo.com }
  default_backend bar_servers

IPv4/IPv6 동시 지원

frontend ipv4_v6_all
  bind [::]:18080 v4v6       # IPv4와 IPv6 모두 수신
  default_backend web_servers

주요 옵션 설명

TCP 모드 사용 예시

frontend foo.com
  mode http
  bind 192.168.1.5:80
  default_backend foo_servers

frontend db.foo.com
  mode tcp                   # TCP 모드 사용
  bind 192.168.1.15:3306
  default_backend db_servers

backend 섹션

기본 구조

backend web_servers
  mode http
  balance roundrobin
  server s1 192.168.1.25:80 check   # check: 헬스체크 활성화
  server s2 192.168.1.26:80 check
  server s3 192.168.1.27:80 check

다중 backend 라우팅

frontend foo_and_bar
  mode http
  bind :80
  use_backend foo_servers if { req.hdr(host) -i foo.com }
  use_backend bar_servers if { req.hdr(host) -i bar.com }

backend foo_servers
  mode http
  balance roundrobin
  server foo1 192.168.1.25:80 check
  server foo2 192.168.1.26:80 check
  server foo3 192.168.1.27:80 check

backend bar_servers
  mode http
  balance leastconn           # 다른 알고리즘 사용
  server bar1 192.168.1.35:80 check
  server bar2 192.168.1.36:80 check
  server bar3 192.168.1.37:80 check

server 옵션

listen 섹션

listen load_balancer_cluster
  mode tcp
  bind :80
  option tcplog
  balance roundrobin
  server lb1 192.168.1.25:80 check
  server lb2 192.168.1.26:80 check

stats 대시보드

listen stats
  bind :8404
  mode http
  stats uri /stats           # 대시보드 접속 경로
  stats enable               # 대시보드 활성화
  stats refresh 3s           # 자동 새로고침 간격
  stats show-modules         # 모듈 정보 표시
  stats auth admin:admin     # 기본 인증 설정 (사용자:비밀번호)

주요 옵션 설명

실제 설정 예시

frontend openstack_frontend
  mode http
  bind *:8080
  bind *:8443 ssl crt /etc/haproxy/certs/
  
  # 프록시 헤더 설정
  http-request set-header X-Forwarded-Proto https if { ssl_fc }
  http-request add-header X-Forwarded-For %[src]
  
  # HTTPS 리다이렉트
  http-request redirect scheme https unless { ssl_fc }
  
  # 서브도메인별 라우팅
  use_backend openstack_backend if { ssl_fc_sni openstack.dmslab.xyz }
  use_backend novnc_backend if { ssl_fc_sni novnc.dmslab.xyz }
  use_backend s3_ceph_backend if { ssl_fc_sni -i -m reg ^(([a-z0-9-]+\.)?s3\.dmslab\.xyz)$ }
  use_backend grafana_backend if { ssl_fc_sni gf.dmslab.xyz }
  use_backend dashboard_backend if { ssl_fc_sni dashboard.dmslab.xyz }
  default_backend openstack_backend

설정 포인트 분석

1. 포트 설정: 내부에서 Apache가 80/443 포트를 사용 중이므로 HAProxy는 8080/8443 포트를 사용합니다.

2. 정규표현식을 활용한 라우팅: S3 호환을 위해 {버킷}.s3.dmslab.xyz 형태의 URL을 처리해야 합니다.

bash

{ ssl_fc_sni -i -m reg ^(([a-z0-9-]+\.)?s3\.dmslab\.xyz)$ }

이 정규표현식은 s3.dmslab.xyz 앞에 어떤 버킷 이름이 오더라도 매칭됩니다.

3. 디렉토리 기반 SSL 인증서: crt /etc/haproxy/certs/ 처럼 디렉토리를 지정하면 내부의 .pem 파일들이 도메인과 자동 매칭됩니다.

SSL 인증서 파일 구조

• openstack.dmslab.xyz.pem → openstack.dmslab.xyz

• wildcard.s3.dmslab.xyz.pem → *.s3.dmslab.xyz (와일드카드)

SSL 인증서 결합

cat fullchain.pem privkey.pem > domain.pem

OpenStack 환경에서 Cloudflare DNS와 certbot을 활용한 SSL 인증서 자동 발급 및 갱신 방법

OpenStack 환경에서 Horizon 대시보드에 HTTPS를 적용하기 위해 certbot과 Cloudflare DNS 플러그인을 사용해 SSL 인증서를 자동으로 발급하고, NFS 공유와 HAProxy용 PEM 파일 병합 스크립트를 통해 두 컨트롤러에 동일하게 적용하며, Python 스크립트와 cron을 이용해 90일 만료 주기의 자동 갱신까지 완전 자동화하는 방법을 단계별로 설명한다.

/openstack-ssl

설정 파일 검증

sudo haproxy -f /etc/haproxy/haproxy.cfg -c

sudo systemctl restart haproxy

마치며

1. 설정 파일 검증: haproxy -c 옵션으로 문법 오류 확인

2. 로그 분석: /var/log/haproxy.log 확인

3. 대시보드 확인: stats 페이지에서 서버 상태 점검