本文档涵盖了上述版本中实现的配置语言。它不提供任何提示、示例或建议。有关此类文档，请参阅参考手册或架构手册。以下摘要旨在帮助您按名称查找章节并在文档中导航。文档贡献者须知：本文档每行格式化为80列，使用偶数个空格进行缩进，不使用制表符。请严格遵守这些规则，以便在任何地方都能轻松打印。如果某行需要逐字打印且不适合，请在每行末尾加上反斜杠（'\'），并在下一行继续，缩进两个字符。有时，为了强调输入和输出之间的差异，当它们可能模糊不清时，用三个闭合尖括号（'>>>'）作为所有输出行（日志、控制台输出）的前缀也很有用。如果添加新章节，请更新下面的摘要以便于搜索。

当 HAProxy 在 HTTP 模式下运行时，请求和响应都会被完全分析和索引，因此可以根据内容中找到的几乎任何信息来构建匹配标准。然而，重要的是要了解 HTTP 请求和响应是如何构成的，以及 HAProxy 是如何分解它们的。这样将更容易编写正确的规则并调试现有配置。

HTTP 协议是事务驱动的。这意味着每个请求都会且只会产生一个响应。传统上，客户端会建立一个到服务器的 TCP 连接，客户端通过该连接发送一个请求，服务器响应，然后连接关闭。一个新的请求需要一个新的连接：[CON1] [REQ1] ... [RESP1] [CLO1] [CON2] [REQ2] ... [RESP2] [CLO2] ... 在这种模式下，称为“HTTP close”模式，有多少 HTTP 事务就有多少连接建立。由于服务器在响应后关闭连接，客户端不需要知道内容长度。由于协议的事务特性，可以对其进行改进，以避免在两个后续事务之间关闭连接。然而，在这种模式下，服务器必须为每个响应指示内容长度，以便客户端不会无限期地等待。为此，使用了一个特殊的标头：“Content-length”。这种模式被称为“keep-alive”模式：[CON] [REQ1] ... [RESP1] [REQ2] ... [RESP2] [CLO] ... 它的优点是事务之间的延迟减少，并且服务器端所需的处理能力更少。它通常优于 close 模式，但并非总是如此，因为客户端通常会将其并发连接限制在一个较小的值。通信中的另一个改进是流水线（pipelining）模式。它仍然使用 keep-alive，但客户端不等第一个响应就发送第二个请求。这对于获取构成页面的大量图像很有用：[CON] [REQ1] [REQ2] ... [RESP1] [RESP2] [CLO] ... 这显然对性能有巨大的好处，因为后续请求之间的网络延迟被消除了。许多 HTTP 代理不支持正确的流水线操作，因为 HTTP 中没有办法将响应与相应的请求关联起来。因此，服务器必须按照接收请求的完全相同的顺序回复。下一个改进是多路复用模式，如 HTTP/2 中实现的那样。这一次，每个事务都被分配一个流标识符，所有流都在现有连接上多路复用。客户端可以并行发送许多请求，响应可以以任何顺序到达，因为它们也携带着流标识符。默认情况下，HAProxy 在处理持久连接时以 keep-alive 模式运行：对于每个连接，它处理每个请求和响应，并在一个响应结束和新请求开始之间将连接置于空闲状态。当它从客户端接收到 HTTP/2 连接时，它会并行处理所有请求并使连接空闲，等待新请求，就像它是一个 keep-alive HTTP 连接一样。HAProxy 支持 4 种连接模式：- keep alive：处理所有请求和响应（默认）- tunnel：只处理第一个请求和响应，其余内容不经分析直接转发（已弃用）。- server close：服务器端的连接在响应后关闭。- close：连接在响应结束时被主动关闭。

首先，让我们考虑这个 HTTP 请求： 行号 内容 1 GET /serv/login.php?lang=en&profile=2 HTTP/1.1 2 Host: www.mydomain.com 3 User-agent: my small browser 4 Accept: image/jpeg, image/gif 5 Accept: image/png

第 1 行是“请求行”。它始终由 3 个字段组成：- 方法（METHOD）：GET- URI：/serv/login.php?lang=en&profile=2- 版本标签（version tag）：HTTP/1.1所有这些都由标准所称的 LWS（线性空白字符）分隔，通常是空格，但也可能是制表符或换行符/回车符后跟空格/制表符。方法本身不能包含任何冒号（':'），并且仅限于字母。所有这些各种组合使得 HAProxy 最好自己执行拆分，而不是让用户编写复杂或不准确的正则表达式。URI 本身可以有几种形式：- “相对 URI”：/serv/login.php?lang=en&profile=2它是没有主机部分的完整 URL。这通常是服务器、反向代理和透明代理接收到的内容。- “绝对 URI”，也称为“URL”：http://192.168.0.12:8080/serv/login.php?lang=en&profile=2它由“方案”（协议名称后跟 '://'）、主机名或地址，可选的冒号（':'）后跟端口号，然后是在地址部分之后的第一个斜杠（'/'）开始的相对 URI 组成。这通常是代理接收到的内容，但支持 HTTP/1.1 的服务器也必须接受这种形式。- 星号（'*'）：这种形式仅在与 OPTIONS 方法关联时被接受，并且不可中继。它用于查询下一跳的功能。- 地址:端口组合：192.168.0.12:80这与 CONNECT 方法一起使用，CONNECT 方法用于通过 HTTP 代理建立 TCP 隧道，通常用于 HTTPS，但有时也用于其他协议。在相对 URI 中，识别出两个子部分。问号之前的部分称为“路径”。它通常是服务器上静态对象的相对路径。问号之后的部分称为“查询字符串”。它主要用于发送给动态脚本的 GET 请求，并且非常特定于所使用的语言、框架或应用程序。HTTP/2 不会随请求传输版本信息，因此版本被假定为与底层协议的版本相同（即“HTTP/2”）。

标头从第二行开始。它们由行首的名称组成，紧跟着一个冒号（':'）。传统上，冒号后会添加 LWS，但这不是必需的。然后是值。多个相同的标头可以折叠成一行，用逗号分隔值，前提是它们的顺序得到尊重。这在 "Cookie:" 字段中很常见。如果后续行以 LWS 开头，则标头可以跨多行。在 1.2 中的示例中，第 4 行和第 5 行定义了 "Accept:" 标头的总共 3 个值。与常见的误解相反，标头名称不区分大小写，如果它们引用其他标头名称（例如 "Connection:" 标头），它们的值也不区分大小写。在 HTTP/2 中，标头名称总是以小写形式发送，在调试模式下运行时可以看到这一点。在内部，所有标头名称都被规范化为小写，以便 HTTP/1.x 和 HTTP/2 使用完全相同的表示形式，并且它们按原样发送到另一端。这解释了为什么以驼峰式大小写键入的 HTTP/1.x 请求会以小写形式传递。标头的结束由第一个空行指示。人们经常说这是双换行符，这不准确，即使双换行符是空行的一种有效形式。幸运的是，HAProxy 在索引标头、检查值和计数时会处理所有这些复杂的组合，因此无需担心它们的写入方式，但重要的是不要因为应用程序执行不寻常但有效的事情而指责它有错误。重要提示：正如 RFC7231 所建议的那样，HAProxy 通过用 LWS 替换标头中间的换行符来规范化标头，以便连接多行标头。这对于正确的分析是必要的，并有助于功能较弱的 HTTP 解析器正常工作，不被此类复杂结构所欺骗。

HTTP 响应看起来非常像 HTTP 请求。两者都称为 HTTP 消息。让我们考虑这个 HTTP 响应：行号 内容 1 HTTP/1.1 200 OK 2 Content-length: 350 3 Content-Type: text/html 作为一个特例，HTTP 支持所谓的 "信息性响应"，即状态码 1xx。这些消息的特殊之处在于它们不传达响应的任何部分，它们仅用作一种信号消息，例如要求客户端继续发送请求。在状态 100 响应的情况下，请求的信息将由紧随信息性消息之后的下一个非 100 响应消息携带。这意味着可以向单个请求发送多个响应，并且只有在启用保持活动状态时才有效（1xx 消息仅限于 HTTP/1.1）。HAProxy 处理这些消息，并能够正确地转发和跳过它们，只处理下一个非 100 响应。因此，除非另有明确说明，否则这些消息既不会被记录也不会被转换。状态 101 消息表示协议正在同一连接上更改，haproxy 必须切换到隧道模式，就像发生了 CONNECT 一样。然后 Upgrade 标头将包含有关连接正在切换到的协议类型的附加信息。

第 1 行是“响应行”。它总是由 3 个字段组成：- 版本标签：HTTP/1.1 - 状态码：200 - 原因短语：OK 状态码始终为 3 位数字。第一位数字表示一般状态：- 1xx = 要跳过的信息性消息（例如 100、101） - 2xx = OK，内容正在发送中（例如 200、206） - 3xx = OK，没有内容发送中（例如 302、304） - 4xx = 客户端导致的错误（例如 401、403、404） - 5xx = 服务器导致的错误（例如 500、502、503） 请参阅 RFC7231 了解所有此类代码的详细含义。“原因”字段只是一个提示，但不会被客户端解析。那里可以找到任何内容，但尊重既定的消息是一种常见做法。它可以由一个或多个单词组成，例如 "OK"、"Found" 或 "Authentication Required"。HAProxy 本身可能会发出以下状态码：代码 时间/原因 200 访问统计信息页面，以及回复监控请求时 301 执行重定向时，具体取决于配置的代码 302 执行重定向时，具体取决于配置的代码 303 执行重定向时，具体取决于配置的代码 307 执行重定向时，具体取决于配置的代码 308 执行重定向时，具体取决于配置的代码 400 请求无效或太大 401 执行操作需要身份验证时（访问统计信息页面时） 403 请求被 "http-request deny" 规则禁止时 404 找不到请求的资源时 408 请求超时在请求完成之前发生时 410 请求的资源不再可用且以后也不会再可用时 500 haproxy 遇到不可恢复的内部错误时，例如内存分配失败，这不应该发生 502 服务器返回空、无效或不完整的响应时，或者 "http-response deny" 规则阻止响应时。 503 没有可用的服务器来处理请求时，或者响应与 "monitor fail" 条件匹配的监控请求时 504 响应超时在服务器响应之前发生时 上述 4xx 和 5xx 错误代码可以自定义（请参阅第 4.2 节中的 "errorloc"）。

响应头的处理方式与请求头完全相同，因此 HAProxy 对两者使用相同的解析函数。更多详情请参考 1.2.2 段。

HAProxy 的配置过程涉及 3 个主要的参数来源： - 命令行参数，它们总是优先 - “global”部分，设置进程范围的参数 - 代理部分，可以采用“defaults”、“listen”、“frontend”和“backend”的形式。配置文件语法由以本手册中引用的关键字开头的行组成，后面可以选择性地跟一个或多个由空格分隔的参数。

HAProxy 的配置引入了类似于许多编程语言的引用和转义系统。配置文件支持 3 种类型：反斜杠转义、双引号弱引用和单引号强引用。如果必须在字符串中输入空格，则必须在其前面加上反斜杠 ('\') 或将其引用。反斜杠本身也必须通过加倍或强引用来转义。转义是通过在特殊字符前加上反斜杠 ('\') 来实现的： \ 标记一个空格并将其与分隔符区分开来 \# 标记一个哈希并将其与注释区分开来 \\ 使用反斜杠 \' 使用单引号并将其与强引用区分开来 \" 使用双引号并将其与弱引用区分开来 弱引用是通过使用双引号 ("") 来实现的。弱引用会阻止对以下内容的解释： 空格作为参数分隔符 ' 单引号作为强引用分隔符 # 哈希作为注释开始 弱引用允许解释变量，如果要在双引号字符串中使用未解释的美元符号，则应使用反斜杠 ("\$")对其进行转义，这在弱引用之外不起作用。弱引用不会阻止转义和特殊字符的解释。强引用是通过使用单引号 ('') 来实现的。在单引号内，不解释任何内容，这是引用正则表达式的有效方式。被引用和转义的字符串在内存中被替换为它们的解释等价物，这允许您执行连接操作。

# 以下是等价的： log-format %{+Q}o\ %t\ %s\ %{-Q}r log-format "%{+Q}o %t %s %{-Q}r" log-format '%{+Q}o %t %s %{-Q}r' log-format "%{+Q}o %t"' %s %{-Q}r' log-format "%{+Q}o %t"' %s'\ %{-Q}r # 以下是等价的： reqrep "^([^\ :]*)\ /static/(.*)" \1\ /\2 reqrep "^([^ :]*)\ /static/(.*)" '\1 /\2' reqrep "^([^ :]*)\ /static/(.*)" "\1 /\2" reqrep "^([^ :]*)\ /static/(.*)" "\1\ /\2"

HAProxy 的配置支持环境变量。这些变量仅在双引号内被解释。变量在配置解析期间展开。变量名前必须加上美元符号（"$"），并可选地用大括号（"{}"）括起来，类似于 Bourne shell 中的做法。变量名可以包含字母数字字符或下划线（"_"），但不应以数字开头。

bind "fd@${FD_APP1}" log "${LOCAL_SYSLOG}:514" local0 notice # 发送到本地服务器 user "$HAPROXY_USER"

一些变量由 HAProxy 定义，它们可以在配置文件中使用，或者可以被程序继承（参见 3.7. 程序）： * HAPROXY_LOCALPEER：在进程启动时定义，包含本地对等体的名称。（参见管理指南中的 "-L"。） * HAPROXY_CFGFILES：由 HAProxy 加载的配置文件列表，以分号分隔。如果您指定了一个目录，这可能很有用。 * HAPROXY_MWORKER：在主-工作者模式下，此变量设置为 1。 * HAPROXY_CLI：为每个进程配置的统计套接字的监听地址，以分号分隔。 * HAPROXY_MASTER_CLI：在主-工作者模式下，主 CLI 的监听地址，以分号分隔。另请参见“external-check command”了解其他变量。

一些参数涉及表示时间的值，例如超时。这些值通常以毫秒表示（除非另有明确说明），但也可以通过在数值后附加单位来以任何其他单位表示。考虑这一点很重要，因为每个关键字都不会重复说明。支持的单位有：- us：微秒。1 微秒 = 1/1000000 秒 - ms：毫秒。1 毫秒 = 1/1000 秒。这是默认单位。 - s：秒。1s = 1000ms - m：分钟。1m = 60s = 60000ms - h：小时。1h = 60m = 3600s = 3600000ms - d：天。1d = 24h = 1440m = 86400s = 86400000ms

# 一个简单的 HTTP 代理配置，在所有接口的 80 端口上监听，# 并将请求转发到名为 "servers" 的单个后端，该后端有一个名为 "server1" 的服务器，# 监听于 127.0.0.1:8000 global daemon maxconn 256 defaults mode http timeout connect 5000ms timeout client 50000ms timeout server 50000ms frontend http-in bind *:80 default_backend servers backend servers server server1 127.0.0.1:8000 maxconn 32 # 使用单个 listen 块定义的相同配置。更短但表达力较差，尤其是在 HTTP 模式下。 global daemon maxconn 256 defaults mode http timeout connect 5000ms timeout client 50000ms timeout server 50000ms listen http-in bind *:80 server server1 127.0.0.1:8000 maxconn 32 假设 haproxy 在 $PATH 中，请在 shell 中使用以下命令测试这些配置：$ sudo haproxy -f configuration.conf -c

"global" 部分中的参数是进程范围的，通常是特定于操作系统的。它们通常设置一次即可，一旦正确就不需要更改。其中一些有命令行等效项。 "global" 部分支持以下关键字：* 进程管理和安全性 - ca-base - chroot - crt-base - cpu-map - daemon - description - deviceatlas-json-file - deviceatlas-log-level - deviceatlas-separator - deviceatlas-properties-cookie - external-check - gid - group - hard-stop-after - h1-case-adjust - h1-case-adjust-file - log - log-tag - log-send-hostname - lua-load - lua-prepend-path - mworker-max-reloads - nbproc - nbthread - node - pidfile - presetenv - resetenv - uid - ulimit-n - user - set-dumpable - setenv - stats - ssl-default-bind-ciphers - ssl-default-bind-ciphersuites - ssl-default-bind-options - ssl-default-server-ciphers - ssl-default-server-ciphersuites - ssl-default-server-options - ssl-dh-param-file - ssl-server-verify - unix-bind - unsetenv - 51degrees-data-file - 51degrees-property-name-list - 51degrees-property-separator - 51degrees-cache-size - wurfl-data-file - wurfl-information-list - wurfl-information-list-separator - wurfl-cache-size - strict-limits * 性能调优 - busy-polling - max-spread-checks - maxconn - maxconnrate - maxcomprate - maxcompcpuusage - maxpipes - maxsessrate - maxsslconn - maxsslrate - maxzlibmem - noepoll - nokqueue - noevports - nopoll - nosplice - nogetaddrinfo - noreuseport - profiling.tasks - spread-checks - server-state-base - server-state-file - ssl-engine - ssl-mode-async - tune.buffers.limit - tune.buffers.reserve - tune.bufsize - tune.chksize - tune.comp.maxlevel - tune.h2.header-table-size - tune.h2.initial-window-size - tune.h2.max-concurrent-streams - tune.http.cookielen - tune.http.logurilen - tune.http.maxhdr - tune.idletimer - tune.lua.forced-yield - tune.lua.maxmem - tune.lua.session-timeout - tune.lua.task-timeout - tune.lua.service-timeout - tune.maxaccept - tune.maxpollevents - tune.maxrewrite - tune.pattern.cache-size - tune.pipesize - tune.pool-high-fd-ratio - tune.pool-low-fd-ratio - tune.rcvbuf.client - tune.rcvbuf.server - tune.recv_enough - tune.runqueue-depth - tune.sndbuf.client - tune.sndbuf.server - tune.ssl.cachesize - tune.ssl.lifetime - tune.ssl.force-private-cache - tune.ssl.maxrecord - tune.ssl.default-dh-param - tune.ssl.ssl-ctx-cache-size - tune.ssl.capture-cipherlist-size - tune.vars.global-max-size - tune.vars.proc-max-size - tune.vars.reqres-max-size - tune.vars.sess-max-size - tune.vars.txn-max-size - tune.zlib.memlevel - tune.zlib.windowsize * 调试 - debug - quiet

当使用相对路径与 "ca-file
此关键字在以下部分可用：
Bind options
Server and default-server options" 或 "crl-file
此关键字在以下部分可用：
Bind options
Server and default-server options" 指令时，分配一个默认目录来获取 SSL CA 证书和 CRL。在 "ca-file
此关键字在以下部分可用：
Bind options
Server and default-server options" 和 "crl-file
此关键字在以下部分可用：
Bind options
Server and default-server options" 中指定的绝对位置优先，并忽略 "ca-base"。

在降低权限之前，将当前目录更改为 <jail dir> 并在那里执行 chroot()。这提高了安全级别，以防未知漏洞被利用，因为它会使攻击者很难利用系统。这仅在进程以超级用户权限启动时有效。确保 <jail_dir> 既为空又对任何人不可写非常重要。

在 Linux 2.6 及更高版本上，可以将进程或线程绑定到特定的 CPU 集。这意味着进程或线程永远不会在其他 CPU 上运行。"cpu-map" 指令指定进程集或线程集的 CPU 集。第一个参数是进程集，后面跟着线程集（可选）。这些集的格式为 all | odd | even | number[-[number]]  必须是 1 到 32 或 64 之间的数字，具体取决于机器的字大小。任何大于 nbproc 的进程 ID 和任何大于 nbthread 的线程 ID 都将被忽略。可以使用两个用破折号 ('-') 分隔的数字来指定范围。也可以使用 "all" 一次指定所有进程，使用 "odd" 仅指定奇数，或使用 "even" 仅指定偶数，就像使用 "bind-process" 指令一样。第二个及后续参数是 CPU 集。每个 CPU 集要么是 0 到 31 或 63 之间的唯一数字，要么是用破折号 ('-') 分隔的两个此类数字的范围。可以指定多个 CPU 号码或范围，并且允许进程或线程绑定到所有这些号码或范围。显然，可以指定多个 "cpu-map" 指令。每个 "cpu-map" 指令在重叠时会替换前面的指令。线程将绑定到其映射与所附进程映射的交集。如果交集为空，则不会为线程设置特定的绑定。范围可以部分定义。可以省略上限。在这种情况下，它会被替换为相应的最大值，即 32 或 64，具体取决于机器的字大小。可以在进程集前添加 "auto:" 前缀，让 HAProxy 通过递增进程/线程和 CPU 集来自动将进程或线程绑定到 CPU。为了有效，两个集必须具有相同的大小。无论 CPU 集的声明顺序如何，它都将从最低绑定到最高绑定。不支持使用 "auto:" 前缀的进程范围和线程范围。只支持一个范围，另一个必须是固定数字。

cpu-map 1-4 0-3 # 将进程 1 到 4 绑定到前 4 个 CPU cpu-map 1/all 0-3 # 将第一个进程的所有线程绑定到 # 前 4 个 CPU cpu-map 1- 0- # 将被替换为 "cpu-map 1-64 0-63" # 或 "cpu-map 1-32 0-31"，具体取决于机器的 # 字大小。 # 所有这些行都将进程 1 绑定到 cpu 0，进程 2 绑定到 cpu 1 # 等等。 cpu-map auto:1-4 0-3 cpu-map auto:1-4 0-1 2-3 cpu-map auto:1-4 3 2 1 0 # 所有这些行都将线程 1 绑定到 cpu 0，线程 2 绑定到 cpu 1 # 等等。 cpu-map auto:1/1-4 0-3 cpu-map auto:1/1-4 0-1 2-3 cpu-map auto:1/1-4 3 2 1 0 # 使用 all/odd/even 关键字将每个进程绑定到一个 CPU cpu-map auto:all 0-63 cpu-map auto:even 0-31 cpu-map auto:odd 32-63 # 无效的 cpu-map，因为进程集和 CPU 集的大小不同。 cpu-map auto:1-4 0 # 无效 cpu-map auto:1 0-3 # 无效 # 无效的 cpu-map，因为自动绑定与进程范围 # 和线程范围一起使用。 cpu-map auto:all/all 0 # 无效 cpu-map auto:all/1-4 0 # 无效 cpu-map auto:1-4/all 0 # 无效

当使用 "crtfile" 指令的相对路径时，分配一个用于获取 SSL 证书的默认目录。"crtfile" 后面指定的绝对位置优先，并忽略 "crt-base"。

使进程 fork 到后台运行。这是推荐的操作模式。它等同于命令行参数 "-D"。它可以通过命令行参数 "-db" 禁用。此选项在 systemd 模式下被忽略。

设置要由 API 加载的 DeviceAtlas JSON 数据文件的路径。该路径必须是一个有效的 JSON 数据文件，并且 HAProxy 进程可以访问。

设置 API 返回的信息级别。此指令是可选的，如果未设置，则默认为 0。

设置 API 属性结果的字符分隔符。此指令是可选的，如果未设置，则默认为 |。

设置用于检测请求期间是否使用了 DeviceAtlas 客户端组件的客户端 cookie 名称。此指令是可选的，如果未设置，则默认为 DAPROPS。

允许使用外部代理执行健康检查。作为安全预防措施，此功能默认禁用。请参阅 "option external-check"。

将进程的组 ID 更改为 <number>。建议将组 ID 专用于 HAProxy 或一小组类似的守护程序。HAProxy 必须以属于此组的用户或具有超级用户权限的用户身份启动。请注意，如果 haproxy 是从具有辅助组的用户启动的，则只有在具有超级用户权限的情况下才能删除这些组。另请参阅 "group
此关键字在以下部分可用：
Process management and security
Userlists
Programs
Bind options" 和 "uid
此关键字在以下部分可用：
Process management and security
Bind options"。

类似于 "gid
此关键字在以下部分可用：
Process management and security
Bind options"，但使用 /etc/group 中组名 <group name> 的 GID。另请参阅 "gid
此关键字在以下部分可用：
Process management and security
Bind options" 和 "user
此关键字在以下部分可用：
Process management and security
Userlists
Programs
Bind options"。

定义执行干净的软停止所允许的最长时间。

<time> 是实例在通过 SIGUSR1 信号接收到软停止时将保持活动的最长时间（默认为毫秒）。

这可用于确保即使在软停止期间连接保持打开（例如，在 tcp 模式下为代理设置了长超时），实例也会退出。它适用于 TCP 和 HTTP 模式。

global hard-stop-after 30s

定义在发送给 HTTP/1 客户端或服务器之前，对标头名称 <from> 应用的大小写调整，将其更改为 <to>。<from> 必须是小写，<from> 和 <to> 必须只有大小写不同。如果需要调整多个标头名称，可以重复此指令。不允许重复条目。如果需要调整大量标头名称，使用 "h1-case-adjust-file" 可能更方便。请注意，除非在代理中指定了 "option h1-case-adjust-bogus-client" 或 "option h1-case-adjust-bogus-server"，否则不会应用任何转换。标头名称没有标准大小写，因为正如 RFC7230 所述，它们不区分大小写。因此，应用程序必须以不区分大小写的方式处理它们。但一些有问题的应用程序违反了标准，错误地依赖于浏览器最常用的大小写。这个问题在 HTTP/2 中变得至关重要，因为所有标头名称都必须以小写形式交换，HAProxy 也遵循相同的约定。所有标头名称都以小写形式发送给客户端和服务器，无论 HTTP 版本如何。未能正确处理请求或响应的应用程序可能需要暂时使用此类变通方法来调整发送给它们的标头名称，直到应用程序得到修复。请注意，需要此类变通方法的应用程序可能容易受到内容走私攻击，必须绝对修复。

global h1-case-adjust content-length Content-Length

请参阅 "h1-case-adjust-file"、"option h1-case-adjust-bogus-client" 和 "option h1-case-adjust-bogus-server"。

定义一个文件，其中包含键/值对列表，用于在将标头名称发送给 HTTP/1 客户端或服务器之前调整其大小写。文件 <hdrs-file> 每行必须包含 2 个标头名称。第一个必须是小写，并且两者必须只有大小写不同。以 '#' 开头的行将被忽略，空行也是如此。前导和尾随的制表符和空格将被删除。不允许重复条目。请注意，除非在代理中指定了 "option h1-case-adjust-bogus-client" 或 "option h1-case-adjust-bogus-server"，否则不会应用任何转换。如果重复此指令，则只处理最后一个。如果需要调整大量标头名称，它是指令 "h1-case-adjust" 的替代方案。请阅读与使用此功能相关的风险。请参阅 "h1-case-adjust"、"option h1-case-adjust-bogus-client" 和 "option h1-case-adjust-bogus-server"。

添加一个全局 syslog 服务器。可以定义多个全局服务器。它们将接收启动和退出日志，以及配置了 "log global" 的代理的所有日志。<address> 可以是以下之一： - IPv4 地址，可选后跟冒号和 UDP 端口。如果未指定端口，则默认使用 514（标准 syslog 端口）。 - IPv6 地址，后跟冒号和可选的 UDP 端口。如果未指定端口，则默认使用 514（标准 syslog 端口）。 - 数据报 UNIX 域套接字的 filesystem 路径，需要考虑 chroot（确保路径在 chroot 内部可访问）和 uid/gid（确保路径可适当写入）。 - 形式为 "fd@<number>" 的文件描述符号码，可以指向管道、终端或套接字。在这种情况下，使用非缓冲日志，并且每个日志执行一次 writev() 调用。这有点昂贵，但对于大多数工作负载来说是可以接受的。以这种方式发送的消息不会被截断，但可能会被丢弃，在这种情况下，DroppedLogs 计数器会增加。即使在管道上，writev() 调用对于小于 PIPE_BUF 大小的消息也是原子的，POSIX 建议至少为 512，在大多数现代操作系统上为 4096 字节。任何更大的消息都可能与来自其他进程的消息交错。对于调试目的，文件描述符也可以指向文件，但这会显着降低 haproxy 的速度，因为非阻塞调用将被忽略。此外，没有办法在不重新启动进程的情况下清除或旋转此文件。请注意，配置的 syslog 格式会保留下来，因此输出适合与 TCP syslog 服务器一起使用。另请参阅下面的 "short" 和 "raw" 格式。 - "stdout" / "stderr"，它们分别是 "fd@1" 和 "fd@2" 的别名，如上所述。 - 形式为 "ring@<name>" 的环形缓冲区，它对应于可通过 CLI 使用 "show events" 命令访问的内存中环形缓冲区，该命令还会列出现有环形缓冲区及其大小。此类缓冲区在重新加载或重新启动时会丢失，但作为补充使用时，可以通过立即获得日志来帮助故障排除。您可能希望在地址参数中引用一些环境变量，请参阅关于环境变量的第 2.3 节。<length> 是一个可选的最大行长度。大于此值的日志行在发送前将被截断。原因是 syslog 服务器对日志行长度的处理方式不同。所有服务器都支持默认值 1024，但有些服务器只是丢弃较长的行，而另一些服务器则会记录它们。如果服务器支持长行，则在此处设置此值以避免截断长行可能是有意义的。同样，如果服务器丢弃长行，最好在发送前截断它们。接受的值为 80 到 65535（包括）。默认值 1024 通常适用于所有标准用法。某些特定的长捕获或 JSON 格式日志可能需要更大的值。如果您的请求 URI 被截断，您可能还需要增加 "tune.http.logurilen"。<format> 是生成 syslog 消息时使用的日志格式。它可以是以下之一： rfc3164 RFC3164 syslog 消息格式。这是默认值。（https://tools.ietf.org/html/rfc3164） rfc5424 RFC5424 syslog 消息格式。（https://tools.ietf.org/html/rfc5424） short 仅包含尖括号中级别的消息，例如 '<3>'，后跟文本。PID、日期、时间、进程名称和系统名称被省略。这旨在用于本地日志服务器。此格式与 systemd logger 消费的格式兼容。 raw 仅包含文本的消息。级别、PID、日期、时间、进程名称和系统名称被省略。这旨在用于容器或开发期间，其中严重性仅取决于使用的文件描述符（stdout/stderr）。<ranges> 逗号分隔的范围列表，用于标识要采样的日志。这用于平衡发送到日志服务器的日志负载。范围的限制不能为 null。它们从 1 开始编号。样本的大小或周期（以日志数量计）必须使用 <sample_size> 参数设置。<sample_size> 在平衡日志记录负载时要考虑的日志数量中的样本大小。它用于平衡发送到 syslog 服务器的日志负载。此大小必须大于或等于范围高限制的最大值。（另请参阅 <ranges> 参数）。<facility> 必须是 24 个标准 syslog 设施之一：kern user mail daemon auth syslog lpr news uucp cron auth2 ftp ntp audit alert cron2 local0 local1 local2 local3 local4 local5 local6 local7 请注意，对于 "short" 和 "raw" 格式，设施会被忽略，但仍需要作为位置字段。建议在这种情况下使用 "daemon"，以明确它只应该在本地使用。可以指定一个可选级别来过滤出站消息。默认情况下，所有消息都发送。如果指定了最大级别，则只发送严重性至少与此级别一样重要的消息。可以指定一个可选的最小级别。如果设置了，则以比此级别更严重的级别发出的日志将被限制为此级别。这用于避免在某些默认 syslog 配置上向所有终端发送 "emerg" 消息。已知有八个级别：emerg alert crit err warning notice info debug

设置 syslog 报头中的 hostname 字段。如果设置了可选的 "string" 参数，则报头将设置为该字符串内容，否则使用系统的主机名。通常在不通过中间 syslog 服务器中继日志或仅为自定义日志中打印的主机名时使用。

将 syslog 报头中的 tag 字段设置为此字符串。它默认为从命令行启动的程序名，通常是 "haproxy"。有时，区分同一主机上运行的多个进程会很有用。另请参阅每个代理的 "log-tag
This keyword is available in sections :
Process management and security
Alphabetically sorted keywords reference" 指令。

此全局指令加载并执行一个 Lua 文件。此指令可以多次使用。

在 Lua 的 package.<type> 变量前面添加给定的字符串，后跟一个分号。<type> 必须是 "path" 或 "cpath"。如果未给出 <type>，则默认为 "path"。Lua 的路径是以分号分隔的模式列表，用于指定 `require` 函数如何尝试查找库的源文件。模式中的问号 (?) 将替换为模块名称。路径从左到右评估。这意味着稍后添加的路径将首先被检查。例如，通过指定以下路径：lua-prepend-path /usr/share/haproxy-lua/?/init.lua lua-prepend-path /usr/share/haproxy-lua/?.lua 当调用 `require "example"` 时，Lua 将首先尝试加载 /usr/share/haproxy-lua/example.lua 脚本，如果不存在，则尝试 /usr/share/haproxy-lua/example/init.lua，如果仍不存在，则尝试默认路径。有关 Lua 文档中的详细信息，请参阅 https://lua.ac.cn/pil/8.1.html。

主-工作者模式。它等同于命令行参数“-W”。此模式将启动一个“主进程”，该进程将监控“工作进程”。使用此模式，您可以通过向主进程发送 SIGUSR2 信号来直接重新加载 HAProxy。主-工作者模式与前台或守护进程模式兼容。建议在多进程和 systemd 环境下使用此模式。默认情况下，如果一个工作进程以错误的返回码退出，例如在发生段错误的情况下，所有工作进程都将被杀死，主进程将退出。将此行为与 systemd 单元文件中的 Restart=on-failure 结合使用，以重新启动整个进程是很方便的。如果您不希望有此行为，则必须使用关键字“no-exit-on-failure”。另请参见管理指南中的“-W”。

在主-从模式下，此选项限制了工作进程可以承受的重载次数。如果工作进程在重载后没有退出，一旦其重载次数大于此数字，该工作进程将收到一个 SIGTERM 信号。此选项有助于控制工作进程的数量。另请参阅管理指南中的“show proc”。

创建 <number> 个进程以进入 daemon 模式。这需要“daemon”模式。默认情况下，只创建一个进程，这是推荐的操作模式。对于文件描述符数量有限的系统，可能需要派生多个守护进程。当设置为大于 1 的值时，线程会自动禁用。使用多个进程更难调试，并且强烈不推荐。另请参阅“daemon”和“nbthread”。

此设置仅在内置线程支持时可用。它使 haproxy 运行 <number> 个线程。这与 "nbproc
此关键字在以下部分可用：
Process management and security
Fetching samples from internal states" 互斥。虽然 "nbproc
此关键字在以下部分可用：
Process management and security
Fetching samples from internal states" 历史上曾是使用多个处理器D的唯一方式，但它也涉及许多与进程之间缺乏同步（健康检查、对等体、粘性表、统计数据等）相关的缺点，这些缺点不影响线程。因此，强烈建议任何现代配置从 "nbproc
此关键字在以下部分可用：
Process management and security
Fetching samples from internal states" 迁移到 "nbthread"。"nbthread" 在 HAProxy 在前台启动时也有效。在某些支持 CPU 亲和性的平台上，当不使用 nbproc 时，默认的 "nbthread" 值会自动设置为进程在启动时绑定到的 CPU 数量。这意味着线程数可以很容易地通过调用进程使用 "taskset" 或 "cpuset" 等命令进行调整。否则，此值默认为 1。默认值在 "haproxy -vv" 的输出中报告。另请参阅 "nbproc
此关键字在以下部分可用：
Process management and security
Fetching samples from internal states"。

将所有守护进程的 PID 写入文件 <pidfile>。此选项等同于“-p”命令行参数。该文件必须对启动进程的用户可访问。另请参阅“daemon”。

将环境变量 <name> 设置为值 <value>。如果该变量已存在，则不会被覆盖。更改会立即生效，以便配置文件中的下一行可以看到新值。另请参阅 "setenv"、"resetenv" 和 "unsetenv"。

删除除参数中指定的环境变量之外的所有环境变量。它允许在使用 setenv 或 unsetenv 设置新值之前，使用一个干净受控的环境。请注意，一些内部函数可能会使用某些环境变量，例如时间操作函数，以及 OpenSSL 甚至外部检查。此命令必须极其小心使用，并且只能在完全验证后使用。更改会立即生效，因此配置文件中的下一行将看到新的环境。另请参阅 “setenv”、“presetenv” 和 “unsetenv”。

将统计套接字限制为一组特定的进程号。默认情况下，统计套接字绑定到所有进程，当 nbproc 大于 1 时会发出警告，因为连接时无法选择目标进程。但是，通过使用此设置，可以将统计套接字固定到一组特定的进程，通常是第一个进程。使用此设置后，无论使用多少个进程，警告都将自动禁用。最大进程 ID 取决于机器的字长（32 位或 64 位）。范围可以部分定义。可以省略上限。在这种情况下，它将被相应的最大值替换。一个更好的选择是在“stats socket”行的“process”设置中强制指定每行的进程。

指定目录前缀，该前缀将附加在所有不以“/”开头的服务器状态文件名前面。另请参阅 "server-state-file"、"load-server-state-from-file" 和 "server-state-file-name"。

指定包含服务器状态的文件路径。如果路径以斜杠（'/'）开头，则视为绝对路径，否则视为相对于使用 "server-state-base" 指定的目录（如果已设置）或当前目录。在重新加载 HAProxy 之前，可以使用统计命令 "show servers state" 保存服务器的当前状态。该命令的输出必须写入 <file> 指向的文件中。启动时，在处理流量之前，HAProxy 将读取、加载并应用文件中找到且在其当前运行配置中可用的每个服务器的状态。另请参阅 "server-state-base" 和 "show servers state"、"load-server-state-from-file" 和 "server-state-file-name"。

将环境变量 <name> 设置为值 <value>。如果该变量存在，则会被覆盖。更改会立即生效，因此配置文件中的下一行将看到新的值。另请参阅 “presetenv”、“resetenv” 和 “unsetenv”。

此选项最好默认禁用，仅在开发人员要求时启用。如果已启用，可以通过在其前面加上“no”关键字来强制禁用。它对性能或稳定性没有影响，但会尽力重新启用可能因文件大小限制（ulimit -f）、核心大小限制（ulimit -c）或更改 UID/GID 后进程的“可转储性”（例如 Linux 上的 /proc/sys/fs/suid_dumpable）而禁用的核心转储。核心转储可能仍受到当前目录权限（检查启动文件的目录）、chroot 目录权限（可能需要暂时禁用 chroot 指令或将其移动到专用的可写位置）或任何其他系统特定约束的限制。例如，一些 Linux 发行版以将默认核心文件替换为系统上甚至未安装的可执行文件路径而臭名昭著（检查 /proc/sys/kernel/core_pattern）。通常，只需写入“core”、“core.%p”或“/var/log/core/core.%p”即可解决问题。当尝试启用此选项并等待罕见问题再次出现时，通常最好先尝试通过向 haproxy 进程发出例如“kill -11”来获取此类转储，并验证它在崩溃时是否按预期留下了核心文件。

此设置仅在内置 OpenSSL 支持时可用。它设置了默认字符串，描述了在 SSL/TLS 握手期间协商的密码算法列表（“密码套件”），最高支持 TLSv1.2，适用于所有未明确定义自己的 "bind
此关键字可用于以下部分：
Peers
Alphabetically sorted keywords reference" 行。该字符串的格式在 OpenSSL 手册页中的“man 1 ciphers”中定义。有关背景信息和建议，请参阅例如 (https://wiki.mozilla.org/Security/Server_Side_TLS) 和 (https://mozilla.github.io/server-side-tls/ssl-config-generator/)。对于 TLSv1.3 密码配置，请检查 "ssl-default-bind-ciphersuites" 关键字。请检查 "bind
此关键字可用于以下部分：
Peers
Alphabetically sorted keywords reference" 关键字以获取更多信息。

此设置仅在内置 OpenSSL 支持且用于构建 HAProxy 的 OpenSSL 版本为 1.1.1 或更高版本时可用。它设置了默认字符串，描述了在 TLSv1.3 握手期间协商的密码算法列表（“密码套件”），适用于所有未明确定义自己的 "bind
此关键字可用于以下部分：
Peers
Alphabetically sorted keywords reference" 行。该字符串的格式在 OpenSSL 手册页中的“man 1 ciphers”的 "ciphersuites
此关键字可用于以下部分：
Bind options
Server and default-server options" 部分下定义。对于 TLSv1.2 及更早版本的密码配置，请检查 "ssl-default-bind-ciphers" 关键字。请检查 "bind
此关键字可用于以下部分：
Peers
Alphabetically sorted keywords reference" 关键字以获取更多信息。

仅当启用了 OpenSSL 支持时，此设置才可用。它为所有“bind
此关键字在以下部分可用：
Peers
按字母顺序排序的关键字参考”行设置了要强制使用的默认 ssl-options。有关可用选项，请检查“bind
此关键字在以下部分可用：
Peers
按字母顺序排序的关键字参考”关键字。

global ssl-default-bind-options ssl-min-ver TLSv1.0 no-tls-tickets

此设置仅在内置 OpenSSL 支持时可用。它设置了默认字符串，描述了在 SSL/TLS 握手期间与服务器协商的密码算法列表，最高支持 TLSv1.2，适用于所有未明确定义自己的 "server
此关键字可用于以下部分：
Peers
Alphabetically sorted keywords reference" 行。该字符串的格式在 OpenSSL 手册页中的“man 1 ciphers”中定义。有关背景信息和建议，请参阅例如 (https://wiki.mozilla.org/Security/Server_Side_TLS) 和 (https://mozilla.github.io/server-side-tls/ssl-config-generator/)。对于 TLSv1.3 密码配置，请检查 "ssl-default-server-ciphersuites" 关键字。请检查 "server
此关键字可用于以下部分：
Peers
Alphabetically sorted keywords reference" 关键字以获取更多信息。

此设置仅在内置 OpenSSL 支持且用于构建 HAProxy 的 OpenSSL 版本为 1.1.1 或更高版本时可用。它设置了默认字符串，描述了在 TLSv1.3 握手期间与服务器协商的密码算法列表，适用于所有未明确定义自己的 "server
此关键字可用于以下部分：
Peers
Alphabetically sorted keywords reference" 行。该字符串的格式在 OpenSSL 手册页中的“man 1 ciphers”的 "ciphersuites
此关键字可用于以下部分：
Bind options
Server and default-server options" 部分下定义。对于 TLSv1.2 及更早版本的密码配置，请检查 "ssl-default-server-ciphers" 关键字。请检查 "server
此关键字可用于以下部分：
Peers
Alphabetically sorted keywords reference" 关键字以获取更多信息。

此设置仅在内置 OpenSSL 支持时可用。它设置了默认的 ssl 选项，强制应用于所有 "server
此关键字可用于以下部分：
Peers
Alphabetically sorted keywords reference" 行。请检查 "server
此关键字可用于以下部分：
Peers
Alphabetically sorted keywords reference" 关键字以查看可用选项。

此设置仅在内置 OpenSSL 支持时可用。它设置了默认的 DH 参数，用于在 SSL/TLS 握手期间使用短暂 Diffie-Hellman (DHE) 密钥交换时，适用于所有未明确定义自己的 "bind
此关键字可用于以下部分：
Peers
Alphabetically sorted keywords reference" 行。如果绑定证书文件中存在自定义 DH 参数，则此设置将被覆盖。如果未使用 ssl-dh-param-file 指定自定义 DH 参数，也未在证书文件中直接设置，则将使用由 tune.ssl.default-dh-param 指定大小的预生成 DH 参数。已知自定义参数更安全，因此建议使用它们。可以使用 OpenSSL 命令 "openssl dhparam <size>" 生成自定义 DH 参数，其中 size 应该至少为 2048，因为 1024 位 DH 参数不应再被视为安全。

服务器端 SSL 验证的默认行为。如果指定为 'none'，则不验证服务器证书。默认值为 'required'，除非使用命令行选项 '-dV' 强制指定。

将 UNIX 套接字绑定到 <path> 或 TCPv4/v6 地址到 <address:port>。连接到此套接字将返回各种统计信息输出，甚至允许发出一些命令来更改一些运行时设置。有关详细信息，请参阅管理指南的第 9.3 节“Unix 套接字命令”。“bind
此关键字在以下部分可用：
Peers
按字母顺序排序的关键字参考”行支持的所有参数均可用于此，例如限制某些用户或其访问权限。有关更多信息，请参阅第 5.1 节。

统计套接字的默认超时时间设置为 10 秒。可以使用 "stats timeout" 更改此值。该值必须以毫秒为单位传递，或者带有时间单位后缀，如 { us, ms, s, m, h, d }。

默认情况下，统计套接字限制为 10 个并发连接。可以使用 "stats maxconn" 更改此值。

将进程的用户 ID 更改为 <number>。建议用户 ID 专用于 HAProxy 或一小组类似守护进程。HAProxy 必须以超级用户权限启动才能切换到另一个用户 ID。另请参阅 "gid
此关键字可用于以下部分：
Process management and security
Bind options" 和 "user
此关键字可用于以下部分：
Process management and security
Userlists
Programs
Bind options"。

将每个进程的最大文件描述符数设置为 <number>。默认情况下，它是自动计算的，因此建议不要使用此选项。

修复在 "bind
此关键字可用于以下部分：
Peers
Alphabetically sorted keywords reference" 语句中声明的 UNIX 监听套接字的通用设置。这主要用于简化这些 UNIX 套接字的声明并减少错误风险，因为这些设置通常是必需的，但也是进程特定的。<prefix> 设置可用于强制所有套接字路径相对于该目录。这可能是访问另一个组件的 chroot 所必需的。请注意，这些路径是在 haproxy chroot 自身之前解析的，因此它们是绝对路径。<mode>、<user>、<uid>、<group> 和 <gid> 都具有与 "bind
此关键字可用于以下部分：
Peers
Alphabetically sorted keywords reference" 语句中使用的同名参数相同的含义。如果两者都指定，"bind
此关键字可用于以下部分：
Peers
Alphabetically sorted keywords reference" 语句具有优先级，这意味着 "unix-bind" 设置可以被视为进程范围的默认设置。

删除参数中指定的环境变量。这对于隐藏某些操作期间偶尔从用户环境中继承的一些敏感信息很有用。不存在的变量会被静默忽略，因此操作后可以确定这些变量都不再存在。更改会立即生效，因此配置文件中的下一行将看不到这些变量。另请参阅 “setenv”、“presetenv” 和 “resetenv”。

类似于 "uid
此关键字可用于以下部分：
Process management and security
Bind options"，但使用 /etc/passwd 中用户名为 <user name> 的 UID。另请参阅 "uid
此关键字可用于以下部分：
Process management and security
Bind options" 和 "group
此关键字可用于以下部分：
Process management and security
Userlists
Programs
Bind options"。

只允许字母、数字、连字符和下划线，与 DNS 名称类似。此语句在 HA 配置中很有用，其中两个或多个进程或服务器共享相同的 IP 地址。通过在所有节点上设置不同的节点名称，可以轻松地立即发现哪个服务器正在处理流量。

添加描述实例的文本。请注意，需要转义某些字符（例如 #），并且此文本将插入 HTML 页面中，因此您应避免使用“<”和“>”字符。

提供设备检测服务的 51Degrees 数据文件路径。该文件应解压缩并可由 HAProxy 访问，并具有相关权限。请注意，只有当 haproxy 使用 USE_51DEGREES 编译时，此选项才可用。

要从数据集中加载的 51Degrees 属性名称列表。完整的名称列表可在 51Degrees 网站上找到：https://51degrees.com/resources/property-dictionary 请注意，此选项仅在 haproxy 编译时启用了 USE_51DEGREES 时可用。

一个字符，将附加到包含 51Degrees 结果的响应头中的每个属性值之后。如果未设置，则默认为“,”。请注意，此选项仅在 haproxy 编译时启用了 USE_51DEGREES 时可用。

将 51Degrees 转换器缓存的大小设置为 <number> 个条目。这是一个 LRU 缓存，用于记住以前的设备检测及其结果。默认情况下，此缓存是禁用的。请注意，此选项仅在 haproxy 编译时启用了 USE_51DEGREES 时可用。

提供设备检测服务的 WURFL 数据文件路径。该文件应由 HAProxy 访问，并具有相关权限。请注意，只有当 haproxy 使用 USE_WURFL=1 编译时，此选项才可用。

WURFL 功能、虚拟功能、我们计划在注入标头中使用的属性名称的空格分隔列表。Scientiamobile 网站上提供了功能和虚拟功能的完整列表：https://www.scientiamobile.com/wurflCapability 有效的 WURFL 属性包括： - wurfl_id 包含匹配设备的设备 ID。 - wurfl_root_id 包含匹配设备的设备根 ID。 - wurfl_isdevroot 告知匹配设备是否为根设备。可能的值为 "TRUE" 或 "FALSE"。 - wurfl_useragent 随此特定 Web 请求而来的原始 useragent。 - wurfl_api_version 包含一个字符串，表示当前使用的 Libwurfl API 版本。 - wurfl_info 一个字符串，包含有关已解析的 wurfl.xml 及其完整路径的信息。 - wurfl_last_load_time 包含 WURFL 最后一次成功加载的 UNIX 时间戳。 - wurfl_normalized_useragent 规范化的 useragent。请注意，此选项仅在 haproxy 使用 USE_WURFL=1 编译时可用。

用于分隔包含 WURFL 结果的响应标头中值的字符。如果未设置，则默认使用逗号 (',')。请注意，只有当 haproxy 使用 USE_WURFL=1 编译时，此选项才可用。

WURFL 补丁文件路径列表。请注意，补丁是在启动时加载的，因此在 chroot 之前加载。请注意，只有当 haproxy 使用 USE_WURFL=1 编译时，此选项才可用。

设置 WURFL 用户代理缓存大小。为了加快查找速度，已处理的用户代理会保留在 LRU 缓存中：-“0”：不使用缓存。- <size>：LRU 缓存的大小（以元素为单位）。请注意，只有当 haproxy 使用 USE_WURFL=1 编译时，此选项才可用。

当 setrlimit 失败时，使进程在启动时失败。Haproxy 尝试根据已计算出的值设置最佳 setrlimit。如果失败，它将发出警告。如果您希望 haproxy 在这些限制失败时明确失败，请使用此选项。此选项默认禁用。如果已启用，可以通过在其前面加上“no”关键字来强制禁用。

在某些情况下，尤其是在处理支持可变频率的处理器上的低延迟或在虚拟机内部运行时，每次进程使用轮询器等待 I/O 时，处理器都会返回睡眠状态或长时间提供给另一个 VM，这会导致过高的延迟。此选项提供了一种解决方案，通过始终在轮询器上使用 null 超时来防止处理器休眠。这会导致延迟显著降低（观察到 30 到 100 微秒），但代价是处理器过热的风险。它甚至可以与线程一起使用，在这种情况下，绑定不当的线程可能会严重冲突，导致性能变差，并且“show info”输出中的 CPU stolen 字段值很高，表明哪些线程配置错误。使用此选项时，重要的是不要让进程在与网络中断相同的处理器上运行。最好避免在共享同一核心的多个 CPU 线程上使用它。此选项默认禁用。如果已启用，可以通过在其前面加上“no”关键字来强制禁用。它被“select”和“poll”轮询器忽略。在无缝重新加载的上下文中，此选项会自动在旧进程上禁用；它避免了当多个进程停留一段时间等待当前连接结束时过多的 CPU 冲突。

默认情况下，haproxy 会尝试将健康检查的开始时间分散到服务器场中所有服务器的最小健康检查间隔内。其原理是避免对同一服务器上运行的服务进行密集检查。但是当使用较大的检查间隔（10 秒或更长）时，服务器场中的最后几个服务器需要一些时间才能开始被测试，这可能是一个问题。此参数用于强制设置第一个和最后一个检查之间的延迟上限，即使服务器的检查间隔较大。当服务器以较短的间隔运行时，它们的间隔仍将得到尊重。

将每个进程的并发连接数最大值设置为 <number>。它等同于命令行参数“-n”。当达到此限制时，代理将停止接受连接。“ulimit-n”参数会根据此值自动调整。另请参阅“ulimit-n”。注意：在某些平台上，“select”轮询器无法可靠地使用超过 1024 个文件描述符。如果您的平台仅支持 select 并在启动时报告“select FAILED”，您需要减少 maxconn 直到它正常工作（通常略低于 500）。如果未设置此值，它将根据“ulimit -n”命令报告的当前文件描述符限制自动计算，如果强制执行内存限制，可能会根据缓冲区大小、分配给压缩的内存、SSL 缓存大小以及是否使用 SSL 和相关的 maxsslconn（也可以是自动的）而减少到一个较低的值。

将每个进程每秒的最大连接数设置为 <number>。当达到此限制时，代理将停止接受连接。它可以用来限制全局容量，而不考虑每个前端的容量。需要注意的是，这只能用作服务保护措施，因为当达到限制时，前端之间不一定会公平分配，所以最好也为每个前端限制一个接近其预期份额的值。此外，降低 tune.maxaccept 可以提高公平性。

将每个进程的最大输入压缩速率设置为 <number> 千字节/秒。对于每个会话，如果达到最大值，会话期间的压缩级别将降低。如果在会话开始时达到最大值，该会话将完全不压缩。如果未达到最大值，压缩级别将增加到 tune.comp.maxlevel。值为零表示没有限制，这是默认值。

设置 HAProxy 在停止对新请求进行压缩或降低当前请求的压缩级别之前可以达到的最大 CPU 使用率。它的工作方式类似于 'maxcomprate'，但衡量的是 CPU 使用率而不是传入数据带宽。该值以 haproxy 使用的 CPU 百分比表示。在多进程（nbproc > 1）的情况下，每个进程管理其各自的使用率。值为 100 将禁用此限制。默认值为 100。设置较低的值将防止压缩工作减慢整个进程的速度并引入高延迟。

将每个进程的最大管道数设置为 <number>。目前，管道仅由基于内核的 tcp 拼接使用。由于一个管道包含两个文件描述符，"ulimit-n" 值将相应增加。默认值为 maxconn/4，这对于大多数重度使用情况来说似乎已经足够了。拼接代码动态分配和释放管道，并且可以回退到标准复制，因此将此值设置得太低可能只会影响性能。

将每个进程每秒的最大会话数设置为 <number>。当达到此限制时，代理将停止接受连接。它可以用来限制全局容量，而不考虑每个前端的容量。需要注意的是，这只能用作服务保护措施，因为当达到限制时，前端之间不一定会公平分配，所以最好也为每个前端限制一个接近其预期份额的值。此外，降低 tune.maxaccept 可以提高公平性。

设置每个进程的最大并发 SSL 连接数为 <number>。默认情况下没有 SSL 特定的限制，这意味着全局 maxconn 设置将应用于所有连接。设置此限制可避免 openssl 使用过多内存并在 malloc 返回 NULL 时崩溃（因为它不幸地无法可靠地检查此类情况）。请注意，此限制同时适用于传入和传出连接，因此一个解密然后加密的连接计为 2 个 SSL 连接。如果未设置此值，但强制实施了内存限制，则将根据内存限制、maxconn、缓冲区大小、分配给压缩的内存、SSL 缓存大小以及 SSL 在前端、后端或两者中的使用情况自动计算此值。如果在有内存限制时既未指定 maxconn 也未指定 maxsslconn，haproxy 将自动调整这些值，以便 100% 的连接可以通过 SSL 进行，没有风险，并将考虑启用它的方面（前端、后端、两者）。

将每个进程每秒的最大 SSL 会话数设置为 <number>。当达到此限制时，SSL 侦听器将停止接受连接。它可以用来限制全局 SSL CPU 使用率，而不考虑每个前端的容量。需要注意的是，这只能用作服务保护措施，因为当达到限制时，前端之间不一定会公平分配，所以最好也为每个前端限制一个接近其预期份额的值。同样重要的是要注意，会话是在进入 SSL 堆栈之前而不是之后计算的，这也保护了堆栈免受不良握手的影响。此外，降低 tune.maxaccept 可以提高公平性。

设置 zlib 每个进程可用的最大 RAM 量（以兆字节为单位）。当达到最大量时，只要 RAM 不可用，将来的会话将不会压缩。当设置为 0 时，没有限制。默认值为 0。该值在 UNIX 套接字上以字节为单位可用，通过 "show info" 命令的 "MaxZlibMemUsage" 行显示，zlib 使用的内存为 "ZlibMemUsage"（以字节为单位）。

禁用在 Linux 上使用 "epoll" 事件轮询系统。它等同于命令行参数 "-de"。下一个使用的轮询系统通常是 "poll"。另请参阅 "nopoll"。

禁用在 BSD 上使用 "kqueue" 事件轮询系统。它等同于命令行参数 "-dk"。下一个使用的轮询系统通常是 "poll"。另请参阅 "nopoll"。

在源自 Solaris 10 及更高版本的 SunOS 系统上禁用事件端口（event ports）事件轮询系统的使用。它等同于命令行参数“-dv”。下一个使用的轮询系统通常是“poll”。另请参阅“nopoll”。

禁用“poll”事件轮询系统的使用。它等同于命令行参数“-dp”。下一个使用的轮询系统将是“select”。通常不需要禁用“poll”，因为它在 HAProxy 支持的所有平台上都可用。另请参阅“nokqueue”、“noepoll”和“noevports”。

禁用在 Linux 上使用内核在套接字之间进行 tcp 拼接。它等同于命令行参数 "-dS"。数据将使用传统的、更具可移植性的 recv/send 调用进行复制。内核 tcp 拼接仅限于一些非常近期的内核 2.6 实例。大多数 2.6.25 到 2.6.28 之间的版本都有错误，会转发损坏的数据，因此不得使用。此选项使得在有疑问时可以轻松地全局禁用内核拼接。另请参阅 "option splice-auto"、"option splice-request" 和 "option splice-response"。

禁用使用 getaddrinfo(3) 进行名称解析。它等同于命令行参数 "-dG"。将使用已弃用的 gethostbyname(3)。

禁用 SO_REUSEPORT 的使用 - 请参阅 socket(7)。它等同于命令行参数 "-dR"。

启用（'on'）或禁用（'off'）按任务进行的 CPU 分析。当设置为 'auto' 时，当线程开始遭受平均延迟为 1000 微秒或更高（如 "avg_loop_us" 活动字段中所报告）时，分析会自动开启，当延迟返回到 990 微秒以下时自动关闭（此值是过去 1024 个循环的平均值，因此变化不快，并且倾向于显著平滑短时峰值）。在过载系统、容器或虚拟机上，或者当系统交换时（这在负载均衡器上绝对不应该发生）时，它也可能会不时自发触发。按任务进行的 CPU 分析对于报告时间花费在哪里以及哪些请求对哪些其他请求有什么影响非常方便。启用它通常会对整体性能产生不到 1% 的影响，因此建议将其保留为默认值 'auto'，以便仅在发现问题时才运行。此功能要求系统支持带有时钟标识符 CLOCK_MONOTONIC 和 CLOCK_THREAD_CPUTIME_ID 的 clock_gettime(2) 系统调用，否则报告的时间将为零。此选项可以在运行时使用 CLI 上的 "set profiling" 进行更改。

有时，希望避免以精确的间隔向服务器发送代理和健康检查，例如当许多逻辑服务器位于同一物理服务器上时。借助此参数，可以在检查间隔中添加 0 到 +/- 50% 之间的随机性。2 到 5 之间的值似乎效果很好。默认值仍为 0。

将 OpenSSL 引擎设置为 <name>。可以使用命令“openssl engine”获取 <name> 的有效值列表。此语句可以多次使用，它只会启用多个加密引擎。引用不支持的引擎将导致 haproxy 无法启动。请注意，许多引擎将导致 HTTPS 性能低于最新处理器上的纯软件。可选命令“algo”使用 OPENSSL 函数 ENGINE_set_default_string() 设置 ENGINE 将提供的默认算法。值为“ALL”时，引擎用于所有加密操作。如果未指定 algo 列表，则使用“ALL”的值。可以指定由不同算法组成的逗号分隔列表，包括：RSA、DSA、DH、EC、RAND、CIPHERS、DIGESTS、PKEY、PKEY_CRYPTO、PKEY_ASN1。这与 openssl 配置文件使用的格式相同：https://www.openssl.org/docs/man1.0.2/apps/config.html

将 SSL_MODE_ASYNC 模式添加到 SSL 上下文。如果使用支持异步的 SSL 引擎，这将启用异步 TLS I/O 操作。当前实现最多支持 32 个引擎。Openssl ASYNC API 不支持移动读/写缓冲区，并且不兼容 haproxy 的缓冲区管理。因此，异步模式在读/写操作时被禁用（它仅在初始握手和重新协商握手期间启用）。

设置每个进程可以分配的缓冲区数量的硬限制。默认值为零，表示无限制。最小非零值将始终大于 "tune.buffers.reserve"，理想情况下应始终大约是其两倍大。强制设置此值对于限制进程可能占用的内存量同时保持正常的行为特别有用。当达到此限制时，需要缓冲区的会话会等待另一个会话释放缓冲区。由于缓冲区是动态分配和释放的，因此等待时间非常短，并且只要限制保持合理，就不会察觉到。事实上，有时减少限制甚至可以通过提高 CPU 缓存效率来提高性能。测试显示，对于平均 HTTP 流量，限制为预期全局 maxconn 设置的 1/10 时效果良好，这也显著减少了内存使用。内存节省来自于许多连接不会分配 2*tune.bufsize。除非 haproxy 核心开发人员建议，否则最好不要触动此值。

设置预分配并保留的缓冲区数量，仅在内存分配失败导致的内存短缺情况下使用。最小值为 2，也是默认值。用户没有理由更改此值，它主要针对 haproxy 核心开发人员。

将缓冲区大小设置为此大小（以字节为单位）。较低的值允许在相同数量的 RAM 中共存更多会话，而较高的值允许某些具有非常大 cookie 的应用程序工作。默认值是 16384，可以在构建时更改。强烈建议不要更改此默认值，因为非常低的值会破坏某些服务（例如统计信息），而大于默认值的值会增加内存使用，可能导致系统内存不足。至少全局 maxconn 参数应按此值增加的相同因子减小。此外，使用 HTTP/2 要求此值必须为 16384 或更大。如果 HTTP 请求大于 (tune.bufsize - tune.maxrewrite)，haproxy 将返回 HTTP 400（Bad Request）错误。同样，如果 HTTP 响应大于此大小，haproxy 将返回 HTTP 502（Bad Gateway）。请注意，使用此参数设置的值将在 32 位机器上自动向上舍入到下一个 8 的倍数，在 64 位机器上自动向上舍入到下一个 16 的倍数。

将检查缓冲区大小设置为此大小（以字节为单位）。较高的值可能有助于在非常大的页面中查找字符串或正则表达式模式，但这可能意味着更多的内存和 CPU 使用。默认值为 16384，可以在构建时更改。不建议更改此值，而应尽可能使用更好的检查方法。

设置最大压缩级别。压缩级别影响压缩期间的 CPU 使用率。此值影响压缩期间的 CPU 使用率。每个使用压缩的会话都使用此值初始化压缩算法。默认值为 1。

如果使用 DEBUG_FAIL_ALLOC 编译，则给出分配尝试失败的百分比几率。必须介于 0（无失败）和 100（无成功）之间。这对于调试和确保内存故障得到妥善处理非常有用。

设置 HTTP/2 动态头表大小。默认为 4096 字节，不能大于 65536 字节。较大的值可能有助于某些客户端发送更紧凑的请求，具体取决于它们的能力。每个 HTTP/2 连接都会消耗此数量的内存。建议不要更改它。

设置 HTTP/2 的初始窗口大小，即客户端在等待 haproxy 确认之前可以上传的字节数。此设置仅影响有效负载内容（即 POST 请求的正文），而不影响标头。默认值为 65535，在大约 100 毫秒的 ping 时间的网络上，每位客户端的上传带宽约为 5 Mbps，在 1 毫秒的本地网络上约为 500 Mbps。增加此值以允许更快的上传，或在处理多个客户端时减小此值以增加公平性是有意义的。它不影响资源使用。

设置每个连接的 HTTP/2 最大并发流数（即单个连接上的未完成请求数）。默认值为 100。在具有高延迟的网络上访问时，更大的值可能会略微改善复杂站点的页面加载时间，但会增加单个客户端可能分配的资源量。值为零会禁用限制，因此单个客户端可以创建 haproxy 可分配的任意数量的流。强烈建议不要更改此值。

设置 haproxy 向其对等节点宣告愿意接收的最大帧大小。默认值是 16384 和缓冲区大小 (tune.bufsize) 之间的较大者。在任何情况下，haproxy 都不会宣告支持大于缓冲区的帧大小。此设置的主要目的是在配置大缓冲区时允许限制最大帧大小。过大的帧大小可能会影响性能或导致某些对等节点行为异常。强烈建议不要更改此值。

设置捕获的 cookie 的最大长度。"capture cookie xxx len yyy" 允许的最大值将是此值，任何更高的值都将自动截断为此值。重要的是不要设置太高的值，因为所有 cookie 捕获无论其配置值如何都会分配此大小（它们共享一个池）。此值是每个请求每个响应的，因此每个连接分配的内存是此值的两倍。如果未指定，限制设置为 63 个字符。建议不要更改此值。

设置日志中请求 URI 的最大长度。这可以防止在日志行中截断带有有价值查询字符串的长请求 URI。这与 syslog 的限制无关。如果增加此限制，您可能还需要增加 'log ... len yyy' 参数。您的 syslog 守护进程可能也需要特定的配置指令。默认值为 1024。

设置请求中的最大报头数。当请求的报头数（包括第一行）大于此值时，它将被拒绝，并返回 "400 Bad Request" 状态码。同样，过大的响应将被阻止，并返回 "502 Bad Gateway"。默认值为 101，对于所有用途来说已经足够，考虑到广泛部署的 Apache 服务器也使用相同的限制。有时可以进一步提高此限制，以便在修复错误的应用程序之前临时允许其工作。可接受的范围是 1..32767。请记住，每个新报头都会为每个会话消耗 32 位的内存，因此不要将此限制设置得太高。

设置 haproxy 将认为空缓冲区可能与空闲流关联的时间。这用于在转发大量和小数据时优化某些数据包大小。使用 splice() 或在 SSL 中发送大缓冲区进行数据的决定受此参数的调节。该值以毫秒为单位，在 0 到 65535 之间。值为零表示 haproxy 不会尝试检测空闲流。默认值为 1000，它似乎能正确检测最终用户暂停（例如，在点击之前阅读页面）。没有理由更改此值。请查看下面的 tune.ssl.maxrecord。

启用（'on'）或禁用（'off'）监听器的多队列 accept，它将传入流量分散到 "bind
此关键字可用于以下部分：
Peers
Alphabetically sorted keywords reference" 行允许运行的所有线程，而不是由它自己接管。这提供了更平滑的流量分布和更好的扩展性，尤其是在由于外部活动（例如网络中断与一个线程冲突）导致线程负载不均衡的环境中。此选项默认启用，但可以为了故障排除或在估计操作系统已提供足够好的分布且连接寿命极短的情况下强制禁用。

该指令强制 Lua 引擎每执行 <number> 条指令就执行一次让出（yield）。这允许中断一个长时间运行的脚本，并让 HAProxy 调度器处理其他任务，如接受连接或转发流量。默认值为 10000 条指令。如果 HAProxy 经常执行一些 Lua 代码但需要更高的响应性，可以降低这个值。如果 Lua 代码相当长，并且其结果对于处理数据是绝对必需的，可以增加这个 <number>。

设置 Lua 每个进程可用的最大 RAM 量（以兆字节为单位）。默认情况下为零，表示无限制。设置限制很重要，以确保脚本中的错误不会导致系统内存耗尽。

这是 Lua 会话的执行超时。这对于防止无限循环或在 Lua 中花费太多时间很有用。此超时仅计算纯 Lua 运行时。如果 Lua 执行了休眠，休眠时间不计入。默认超时为 4 秒。

目的与 "tune.lua.session-timeout" 相同，但此超时专用于任务。默认情况下，此超时未设置，因为任务可能在 HAProxy 的整个生命周期内保持活动状态。例如，用于检查服务器的任务。

这是 Lua 服务的执行超时。这对于防止无限循环或在 Lua 中花费太多时间很有用。此超时仅计算纯 Lua 运行时。如果 Lua 执行了休眠，休眠时间不计入。默认超时为 4 秒。

设置一个进程在切换到其他工作之前可以连续接受的最大连接数。在单进程模式下，较高的数字在高连接率下性能更好。然而，在多进程模式下，在进程之间保持一点公平性通常能更好地提高性能。此值单独应用于每个侦听器，以便考虑到侦听器绑定的进程数。此值默认为 64。在多进程模式下，它除以侦听器绑定的进程数的两倍。将此值设置为 -1 将完全禁用此限制。通常不需要调整此值。

设置一次调用轮询系统可以处理的最大事件量。默认值根据操作系统进行调整。已经注意到，将其降低到 200 以下会略微降低延迟，但会牺牲网络带宽，而将其增加到 200 以上则会以延迟换取略微增加的带宽。

将保留的缓冲区空间设置为此大小（以字节为单位）。保留空间用于报头重写或追加。套接字上的第一次读取永远不会超过 bufsize-maxrewrite。历史上，它默认为 bufsize 的一半，但这没有太大意义，因为很少有大量的报头需要添加。设置得太高会妨碍处理大的请求或响应。设置得太低会妨碍向已有的较大请求或 POST 请求添加新报头。通常明智的做法是将其设置为大约 1024。如果大于 bufsize 的一半，它会自动调整为 bufsize 的一半。这意味着您在更改 bufsize 时不必担心它。

设置模式查找缓存的大小为 <number> 个条目。这是一个 LRU 缓存，用于记住以前的查找及其结果。它被 ACL 和映射用于慢速模式查找，即使用 "sub"、"reg"、"dir"、"dom"、"end"、"bin" 匹配方法以及不区分大小写的字符串的查找。它适用于模式表达式，这意味着它能够记住在配置行上指定的所有模式（包括从文件加载的所有模式）中的查找结果。它会自动使使用 HTTP 操作或 CLI 更新的条目失效。默认缓存大小设置为 10000 个条目，将其占用空间限制在 32 位系统上每个进程/线程约 5 MB，64 位系统上每个进程/线程约 8 MB，因为缓存是线程/进程本地的。此缓存中发生冲突的风险非常低，大约是缓存大小除以 2^64。通常，在每秒 10000 个请求且默认缓存大小为 10000 个条目的情况下，蛮力攻击在 60 年后可能导致一次冲突的几率为 1%，在 6 年后为 0.1%。这被认为远低于由老化组件引起的内存损坏风险。如果这不可接受，可以通过将此参数设置为 0 来禁用缓存。

将内核管道缓冲区大小设置为此大小（以字节为单位）。默认情况下，管道是系统的默认大小。但有时在使用 TCP 拼接时，增加管道大小可以提高性能，特别是在怀疑管道未被填满且执行了许多 splice() 调用时。这对内核的内存占用有影响，因此如果影响不明确，则不应更改此值。

此设置设置了haproxy全局使用的文件描述符数量（百分比）与haproxy可以使用但在此之前我们将开始在无法重用连接且必须创建新连接时杀死空闲连接的最大文件描述符数量之间的比率。默认值为25（四分之一的文件描述符意味着大约一半的最大前端连接可以保留一个空闲连接，超出此范围在一般情况下目标是连接重用时意义不大）。

此设置设置了haproxy全局使用的文件描述符数量（百分比）与haproxy可以使用但在此之前我们将停止将连接放入空闲池进行重用的最大文件描述符数量之间的比率。默认值为20。

强制将客户端或服务器端的内核套接字接收缓冲区大小设置为指定的字节值。此值适用于所有 TCP/HTTP 前端和后端。通常不应设置此值，默认大小（0）让内核根据可用内存量自动调整此值。但是，有时将其设置为非常低的值（例如 4096）有助于节省内核内存，因为它阻止内核缓冲过多的接收数据。不过，较低的值会显著增加 CPU 使用率。

HAProxy 使用一些提示来检测短读是否表示套接字缓冲区的末尾。其中之一是读取返回的字节数超过 <recv_enough>，默认为 10136（7 个 1448 字节的段）。此默认值可以通过此设置更改，以更好地处理涉及大量短消息的工作负载，例如 telnet 或 SSH 会话。

设置运行任务时一次可以处理的最大任务量。默认值为 200。增加它可能会在处理 I/O 时导致延迟，而设置得太小可能会导致额外的开销。

将客户端或服务器端的内核套接字发送缓冲区大小强制设置为指定的字节数。此值适用于所有TCP/HTTP前端和后端。通常不应设置它，默认大小（0）允许内核根据可用内存量自动调整此值。但是，有时将其设置为非常小的值（例如4096）可以通过阻止内核缓冲过多的接收数据来节省内核内存。然而，较低的值将显著增加CPU使用率。另一种用例是防止由于内核等待缓冲区的大部分被读取然后再次通知haproxy而导致的极慢客户端的写入超时。

设置全局 SSL 会话缓存的大小（以块数为单位）。一个块足够大，可以包含一个编码会话而无需对等证书。带有对等证书的编码会话根据对等证书的大小存储在多个块中。一个块大约使用 200 字节的内存（基于用于 `shctx_init` 函数的 `sizeof(struct sh_ssl_sess_hdr) + SHSESS_BLOCK_MIN_SIZE` 计算）。默认值可以在构建时强制设置，否则默认为 20000。当缓存已满时，最空闲的条目会被清除并重新分配。较高的值减少了此类清除的发生，从而减少了 CPU 密集型 SSL 握手的次数，确保所有用户尽可能长时间地保持其会话。所有条目都在启动时预先分配，并且如果 "nbproc
此关键字可用于以下部分：
Process management and security
Fetching samples from internal states" 大于 1，则在所有进程之间共享。将此值设置为 0 会禁用 SSL 会话缓存。

此选项禁用所有进程之间的 SSL 会话缓存共享。通常不应使用它，因为它会由于客户端命中随机进程而强制进行许多重新协商。但在某些操作系统上可能需要它，因为这些操作系统上可能无法使用任何 SSL 缓存同步方法。在这种情况下，在 SSL 层之前添加第一层基于哈希的负载均衡可能会限制缺少会话共享的影响。

设置缓存的 SSL 会话可以保持有效的时长。此时间以秒为单位表示，默认为 300（5 分钟）。重要的是要理解，这并不保证会话会持续那么长时间，因为如果缓存已满，最长时间空闲的会话将被清除，尽管它们配置了生命周期。此设置的真正用处是防止会话被使用太长时间。

设置一次传递给 SSL_write() 的最大字节数。默认值 0 表示没有限制。通过 SSL/TLS，客户端只有在接收到完整的记录后才能解密数据。对于大记录，这意味着客户端可能需要下载多达 16kB 的数据才能开始处理它们。限制该值可以改善位于高延迟或低带宽网络上的浏览器的页面加载时间。建议找到适合 1 或 2 个 TCP 段（在以太网上启用 TCP 时间戳时通常为 1448 字节，禁用时间戳时为 1460 字节）的最佳值，同时记住 SSL/TLS 会增加一些开销。测试期间，1419 和 2859 的典型值取得了良好结果。使用“strace -e trace=write”来找到最佳值。HAProxy 在检测到空闲流后将自动切换到此设置（请参阅上面的 tune.idletimer）。

在 DHE 密钥交换的情况下，设置用于生成临时/瞬时 Diffie-Hellman 密钥的 Diffie-Hellman 参数的最大大小。最终大小将尝试匹配服务器的 RSA（或 DSA）密钥的大小（例如，对于 2048 位 RSA 密钥使用 2048 位临时 DH 密钥），但不会超过此最大值。默认值为 1024。只允许 1024 或更高的值。较高的值会增加 CPU 负载，而大于 1024 位的值不受 Java 7 及更早版本的客户端支持。如果直接在证书文件中或使用 ssl-dh-param-file 参数提供了静态 Diffie-Hellman 参数，则不使用此值。

将用于存储生成证书的缓存大小设置为 <number> 个条目。这是一个 LRU 缓存。因为动态生成 SSL 证书的开销很大，所以它们被缓存起来。默认缓存大小设置为 1000 个条目。

设置用于捕获客户端hello密码列表的缓冲区最大大小。如果值为0（默认值），则禁用捕获；否则，为每个SSL/TLS连接分配一个缓冲区。

这五个调优有助于管理变量系统使用的最大内存量。“global”限制所有作用域的总内存量。“proc”限制进程作用域的内存，“sess”限制会话作用域的内存，“txn”限制事务作用域的内存，“reqres”限制每个请求或响应处理的内存。内存核算具有层次性，这意味着更粗粒度的限制包括更细粒度的限制：“proc”包括“sess”，“sess”包括“txn”，“txn”包括“reqres”。例如，当 "tune.vars.sess-max-size" 限制为 100 时，"tune.vars.txn-max-size" 和 "tune.vars.reqres-max-size" 也不能超过 100。如果我们创建一个包含 100 字节的变量 "txn.var"，则所有可用空间都被消耗。请注意，在运行时超过限制不会导致错误消息，但值可能会被截断或损坏。因此，请确保准确规划存储所有变量所需的空间量。

为每个会话在 zlib 初始化中设置 memLevel 参数。它定义了应为内部压缩状态分配多少内存。值为 1 使用最少的内存，但速度慢且压缩率降低；值为 9 使用最大的内存以获得最佳速度。可以是 1 到 9 之间的值。默认值为 8。

为每个会话在 zlib 初始化中设置窗口大小（历史缓冲区的大小）。此参数的较大值会以内存使用为代价带来更好的压缩效果。可以是 8 到 15 之间的值。默认值为 15。

启用调试模式，将所有交换信息转储到标准输出，并禁止 fork 到后台。它等同于命令行参数 "-d"。它绝不应在生产配置中使用，因为它可能会阻止系统完全启动。

启动期间不显示任何消息。它等同于命令行参数 "-q"。

可以通过仅允许经过身份验证和授权的用户来控制对前端/后端/侦听部分或 http 统计信息的访问。为此，需要创建至少一个用户列表并定义用户。

创建名为 <listname> 的新用户列表。可以使用许多独立的用户列表来存储独立客户的身份验证和授权数据。

将组 <groupname> 添加到当前用户列表。也可以通过使用逗号分隔的名称列表（前面有 "users" 关键字）将用户附加到此组。

将用户 <username> 添加到当前用户列表。可以使用安全（加密）和不安全（未加密）密码。加密密码使用 crypt(3) 函数进行评估，因此根据系统的功能，支持不同的算法。例如，基于现代 Glibc 的 Linux 系统支持 MD5、SHA-256、SHA-512，当然还有经典的基于 DES 的密码加密方法。注意：请注意，使用加密密码可能会导致 CPU 使用率显著增加，具体取决于请求数量和所使用的算法。对于任何散列变体，每个请求的密码都必须经过所选算法的处理，然后才能与配置文件中指定的值进行比较。大多数当前算法都经过精心设计，计算成本高昂，以实现对蛮力攻击的抵抗力。它们不仅仅对明文密码进行一次加盐/散列，而是成千上万次。这可能很快成为 haproxy 整体 CPU 消耗的主要因素！

userlist L1 group G1 users tiger,scott group G2 users xdb,scott user tiger password $6$k6y3o.eP$JlKBx9za9667qe4(...)xHSwRv6J.C0/D7cV91 user scott insecure-password elgato user xdb insecure-password hello userlist L2 group G1 group G2 user tiger password $6$k6y3o.eP$JlKBx(...)xHSwRv6J.C0/D7cV91 groups G1 user scott insecure-password elgato groups G1,G2 user xdb insecure-password hello groups G2

请注意，这两个列表在功能上是相同的。

可以在多个 haproxy 实例之间通过 TCP 连接以多主方式传播粘性表中的任何数据类型的条目。每个实例将其本地更新和插入推送到远程对等节点。推送的值会覆盖远程值，而不进行聚合。中断的交换会自动检测并从最后一个已知点恢复。此外，在软重启期间，旧进程使用这样的 TCP 连接连接到新进程，以在新进程尝试连接其他对等节点之前推送其所有条目。这确保了在重新加载期间的快速复制，即使对于大型表，通常也只需要几分之一秒。请注意，服务器 ID 用于远程识别服务器，因此重要的是配置看起来相似，或者至少在所有参与者上对每个服务器强制使用相同的 ID。

创建名为 <peersect> 的新对等节点列表。它是一个独立的部分，由一个或多个粘性表引用。

定义此“peers”部分中本地对等节点的绑定参数。在同一个“peers”部分中，此类行不支持与“peer”行同时使用。

禁用一个对等节点部分。它会禁用与此部分相关的侦听和任何同步。这用于禁用粘性表的同步，而无需注释掉所有 "peers" 引用。

定义本地对等节点的绑定参数，但不包括其地址。

更改“peers”部分中服务器的默认选项。

<param*> 是此服务器的参数列表。“default-server
此关键字可在以下段落中使用：
对等体
按字母排序的关键字参考”关键字接受大量选项，并有专门的完整章节介绍。更多详情请参阅 第 5 节。

这会重新启用先前被禁用的对等节点部分。

"peers" 部分支持与代理相同的 "log
此关键字可用于以下部分：
Process management and security
Peers
Alphabetically sorted keywords reference" 关键字，用于记录有关 "peers" 监听器的信息。有关更多详细信息，请参阅代理的 "log
此关键字可用于以下部分：
Process management and security
Peers
Alphabetically sorted keywords reference" 选项。

在 peers 部分中定义一个对等体。如果 <peername> 设置为本地对等体名称（默认为主机名，或使用 "-L" 命令行选项强制设置），haproxy 将在 <ip>:<port> 上侦听传入的远程对等体连接。否则，<ip>:<port> 定义了连接到远程对等体的位置，<peername> 用于协议级别以在服务器端识别和验证远程对等体。在软重启期间，旧实例使用本地对等体 <ip>:<port> 连接新实例并启动完全复制（教学过程）。强烈建议在所有对等体上使用完全相同的 peers 声明，并且仅依靠 "-L" 命令行参数来更改本地对等体名称。这使得在所有对等体之间维护一致的配置文件更加容易。您可能希望在地址参数中引用一些环境变量，请参阅 section 2.3 关于环境变量。注意：“peer”关键字可以透明地替换为 "server
此关键字可用于以下部分：
Peers
Alphabetically sorted keywords reference" 关键字（请参阅下面的 "server
此关键字可用于以下部分：
Peers
Alphabetically sorted keywords reference" 关键字解释）。

如前所述，“peer”关键字可以替换为 "server
此关键字可用于以下部分：
Peers
Alphabetically sorted keywords reference" 关键字，并支持 5.2 段落中找到的所有 "server
此关键字可用于以下部分：
Peers
Alphabetically sorted keywords reference" 参数。如果底层对等体是本地的，则不能出现 <ip>:<port> 参数。这些参数必须在 "bind
此关键字可用于以下部分：
Peers
Alphabetically sorted keywords reference" 行上提供（请参阅此 "peers" 部分的 "bind
此关键字可用于以下部分：
Peers
Alphabetically sorted keywords reference" 关键字）。其中一些参数与 "peers" 部分无关。

 # 旧方式。 peers mypeers peer haproxy1 192.168.0.1:1024 peer haproxy2 192.168.0.2:1024 peer haproxy3 10.2.0.1:1024 backend mybackend mode tcp balance roundrobin stick-table type ip size 20k peers mypeers stick on src server srv1 192.168.0.30:80 server srv2 192.168.0.31:80 Example: peers mypeers bind 127.0.0.11:10001 ssl crt mycerts/pem default-server ssl verify none server hostA 127.0.0.10:10000 server hostB #local peer

为当前部分配置粘性表。此行的解析方式与在其他部分中的 "stick-table" 关键字完全相同，只是此处不需要 "peers" 参数，并且有一个额外的强制性第一个参数用于指定粘性表。与其他部分相反，"peers" 部分中可能有多个 "table" 行（另请参阅 "stick-table" 关键字）。另请注意，"peers" 部分有自己的粘性表命名空间，以避免不同 "peers" 部分中相同粘性表名称之间的冲突。这在内部通过将 "peers" 部分名称作为前缀添加到粘性表的名称后跟 '/' 字符来处理。如果在配置文件的其他位置必须引用在 "peers" 部分中声明的此类粘性表，则必须使用带前缀的粘性表名称，如下所示：peers mypeers peer A ... peer B ... table t1 ... frontend fe1 tcp-request content track-sc0 src table mypeers/t1 这也是必须通过 CLI 引用粘性表时使用的带前缀的粘性表名称版本。关于 "peers" 协议，由于只有属于同一部分的 "peers" 才能相互通信，因此不需要进行此类区分。几个 "peers" 部分可以声明具有相同名称的粘性表。这是通过网络发送的粘性表名称的较短版本。只有一个 '/' 字符作为前缀，以避免在后端声明的粘性表与在 "peers" 部分中声明的粘性表之间的粘性表名称冲突，如下所示（在 weird 但受支持的配置中）：peers mypeers peer A ... peer B ... table t1 type string size 10m store gpc0 backend t1 stick-table type string size 10m store gpc0 peers mypeers 此处在 "mypeeers" 部分中声明的 "t1" 表的全局名称为 "mypeers/t1"。在后端声明的 "t1" 表的全局名称为 "t1"。但在对等协议级别，前一个表名为 "/t1"，后一个表仍名为 "t1"。

当服务器状态发生变化时，可以发送电子邮件警报。如果配置了电子邮件警报，则会发送到邮件发送器部分中配置的每个邮件发送器。电子邮件使用 SMTP 发送给邮件发送器。

创建名为 <mailersect> 的新邮件发送器列表。它是一个独立的部分，由一个或多个代引用。

在邮件发送器部分内定义一个邮件发送器。

mailers mymailers mailer smtp1 192.168.0.1:587 mailer smtp2 192.168.0.2:587 backend mybackend mode tcp balance roundrobin email-alert mailers mymailers email-alert from test1@horms.org email-alert to test2@horms.org server srv1 192.168.0.30:80 server srv2 192.168.0.31:80

定义可用于建立邮件/连接并发送到邮件服务器的时间。如果未定义，默认值为 10 秒。为了允许在初始 TCP 握手期间至少发送两个 SYN-ACK 数据包，建议将此值保持在 4 秒以上。

mailers mymailers timeout mail 20s mailer smtp1 192.168.0.1:587

在 master-worker 模式下，可以与 master 一起启动外部二进制文件，这些进程称为程序。这些程序的启动和管理方式与 worker 相同。在 HAProxy 重载期间，这些进程将经历与 worker 相同的序列： - master 被重新执行 - master 向程序发送一个 SIGUSR1 信号 - 如果没有禁用“option start-on-reload”，master 将启动一个新的程序实例 在停止或重启期间，会向程序发送一个 SIGTERM 信号。

这是一个新的程序部分，此部分将创建一个名为 <name> 的实例，该实例在 master CLI 的 "show proc" 中可见。（请参阅管理指南中的 "9.4. Master CLI"）。

定义要启动的命令及可选参数。如果命令不包含绝对路径，则会在当前 PATH 中查找。这是 program 部分的一个强制选项。包含空格的参数必须用单引号或双引号括起来，或者以反斜杠为前缀。

将执行的命令用户 ID 更改为 /etc/passwd 中的 <用户名>。另请参阅“group
此关键字在以下部分可用：
进程管理和安全
用户列表
程序
绑定选项”。

将执行的命令组 ID 更改为 /etc/group 中的 <组名>。另请参阅“user
此关键字在以下部分可用：
进程管理和安全
用户列表
程序
绑定选项”。

在 master 重载时启动（或不启动）程序的新实例。默认是启动新实例。此选项只能在 program 部分使用。

代理配置可以位于一组部分中： - defaults [<name>] - frontend <name> - backend <name> - listen <name> “defaults”部分为其声明之后的所有其他部分设置默认参数。这些默认参数会被下一个“defaults”部分重置。有关可以在“defaults”部分中设置的参数列表，请参见下文。名称是可选的，但鼓励使用它以提高可读性。 “frontend”部分描述了一组接受客户端连接的监听套接字。 “backend”部分描述了一组服务器，代理将连接到这些服务器以转发传入连接。 “listen”部分定义了一个完整的代理，其前端和后端部分组合在一个部分中。它通常适用于纯 TCP 流量。 所有代理名称必须由大小写字母、数字、“-”（破折号）、“_”（下划线）、“.”（点）和“:”（冒号）组成。ACL 名称区分大小写，这意味着“www”和“WWW”是两个不同的代理。 历史上，所有代理名称都可以重叠，这只会导致日志中的问题。自引入内容切换以来，具有重叠功能（frontend/backend）的两个代理必须具有不同的名称。但是，仍然允许前端和后端共享相同的名称，因为这种配置似乎很常见。 目前，支持两种主要的代理模式：“tcp”，也称为第 4 层，以及“http”，也称为第 7 层。在第 4 层模式下，HAProxy 只是转发两侧之间的双向流量。在第 7 层模式下，HAProxy 分析协议，并可以通过允许、阻止、切换、添加、修改或删除请求或响应中的任意内容（基于任意标准）来与之交互。在 HTTP 模式下，应用于流经连接的请求和响应的处理取决于前端的 HTTP 选项和后端的组合。 HAProxy 支持 3 种连接模式： - KAL：保持活动（“option http-keep-alive”），这是默认模式：所有请求和响应都经过处理，连接保持打开状态，但在响应和新请求之间处于空闲状态。 - SCL：服务器关闭（“option http-server-close”）：在接收到响应结束时，面向服务器的连接会关闭，但面向客户端的连接保持打开状态。 - CLO：关闭（“option httpclose”）：在响应结束时关闭连接，并在两个方向上附加“Connection: close”。 将应用于流经前端和后端的连接的有效模式可以根据以下矩阵由两种代理模式确定，但简而言之，模式是对称的，keep-alive 是最弱的选项，close 是最强的选项。 后端模式 | KAL | SCL | CLO ----+-----+-----+---- KAL | KAL | SCL | CLO ----+-----+-----+---- mode SCL | SCL | SCL | CLO ----+-----+-----+---- CLO | CLO | CLO | CLO

支持以下关键字列表。它们中的大多数只能在有限的段落类型中使用。其中一些被标记为“已弃用”，因为它们继承自一个可能令人困惑或功能有限的旧语法，并且有新的推荐关键字来替换它们。 标有“(*)”的关键字可以选择性地使用“no”前缀进行反转，例如“no option contstats”。当该选项默认启用并且必须为特定实例禁用时，这样做是有意义的。此类选项也可以使用“default”前缀，以便恢复默认设置，而不管之前的“defaults”段落中指定了什么。

关键字	defaults	frontend	listen	backend
acl
backlog
balance
bind
bind-process
capture cookie
capture request header
capture response header
compression
cookie
declare capture
default-server
default_backend
description
disabled
dispatch
email-alert from
email-alert level
email-alert mailers
email-alert myhostname
关键字	defaults	frontend	listen	backend
email-alert to
enabled
errorfile
errorloc
errorloc302
errorloc303
force-persist
filter
fullconn
grace
hash-type
http-check disable-on-404
http-check expect
http-check send-state
http-request
http-response
http-reuse
http-send-name-header
id
ignore-persist
关键字	defaults	frontend	listen	backend
load-server-state-from-file
(*)log
log-format
log-format-sd
log-tag
max-keep-alive-queue
maxconn
mode
monitor fail
monitor-net
monitor-uri
(*)option abortonclose
(*)option accept-invalid-http-request
(*)option accept-invalid-http-response
(*)option allbackups
(*)option checkcache
(*)option clitcpka
(*)option contstats
(*)option dontlog-normal
(*)option dontlognull
关键字	defaults	frontend	listen	backend
option forwardfor
(*)option h1-case-adjust-bogus-client
(*)option h1-case-adjust-bogus-server
(*)option http-buffer-request
(*)option http-ignore-probes
(*)option http-keep-alive
(*)option http-no-delay
(*)option http-pretend-keepalive
(*)option http-server-close
(*)option http-use-proxy-header
option httpchk
(*)option httpclose
option httplog
(*)option http_proxy
(*)option independent-streams
option ldap-check
option external-check
(*)option log-health-checks
(*)option log-separate-errors
(*)option logasap
关键字	defaults	frontend	listen	backend
option mysql-check
(*)option nolinger
option originalto
(*)option persist
option pgsql-check
(*)option prefer-last-server
(*)option redispatch
option redis-check
option smtpchk
(*)option socket-stats
(*)option splice-auto
(*)option splice-request
(*)option splice-response
option spop-check
(*)option srvtcpka
option ssl-hello-chk
option tcp-check
(*)option tcp-smart-accept
(*)option tcp-smart-connect
option tcpka
关键字	defaults	frontend	listen	backend
option tcplog
(*)option transparent
external-check command
external-check path
persist rdp-cookie
rate-limit sessions
redirect
retries
retry-on
server
server-state-file-name
server-template
source
stats admin
stats auth
stats enable
stats hide-version
stats http-request
stats realm
stats refresh
关键字	defaults	frontend	listen	backend
stats scope
stats show-desc
stats show-legends
stats show-node
stats uri
stick match
stick on
stick store-request
stick store-response
stick-table
tcp-check connect
tcp-check expect
tcp-check send
tcp-check send-binary
tcp-request connection
tcp-request content
tcp-request inspect-delay
tcp-request session
tcp-response content
tcp-response inspect-delay
关键字	defaults	frontend	listen	backend
timeout check
timeout client
timeout client-fin
timeout connect
timeout http-keep-alive
timeout http-request
timeout queue
timeout server
timeout server-fin
timeout tarpit
timeout tunnel
(已弃用)transparent
unique-id-format
unique-id-header
use_backend
use-fcgi-app
use-server

本节提供了每个关键字及其用法的描述。

声明或完成一个访问控制列表。

可用于节

defaults	frontend	listen	backend
否	是	是	是

acl invalid_src src 0.0.0.0/7 224.0.0.0/3 acl invalid_src src_port 0:1023 acl local_dst hdr(host) -i localhost

有关 ACL 的用法，请参见第 7 节。

向系统提供关于期望的监听队列（backlog）大致大小的提示。

可用于节

defaults	frontend	listen	backend
是	是	是	否

<conns> 是待处理连接的数量。根据操作系统的不同，它可能表示已确认的连接数、未确认的连接数或两者之和。

为了防范 SYN 洪水攻击，一种解决方案是增加系统的 SYN 队列大小。根据系统的不同，有时它只能通过系统参数进行调整，有时根本无法调整，有时系统依赖于应用程序在调用 listen() 系统调用时给出的提示。默认情况下，HAProxy 将前端的 maxconn 值传递给 listen() 系统调用。在可以利用此值的系统上，有时能够指定一个不同的值会很有用，因此有了这个 backlog 参数。在 Linux 2.4 上，该参数被系统忽略。在 Linux 2.6 上，它被用作一个提示，系统最多接受不小于该值的最小的 2 的幂次方，并且永远不会超过某些限制（通常是 32768）。

定义在后端中使用的负载均衡算法。

可用于节

defaults	frontend	listen	backend
是	否	是	是

<algorithm> 是在进行负载均衡时用于选择服务器的算法。这仅适用于没有可用持久性信息的情况，或者当连接被重新分派到另一台服务器时。 <algorithm> 可以是以下之一： roundrobin 每个服务器根据其权重轮流使用。当服务器的处理时间保持均匀分布时，这是最平滑和最公平的算法。此算法是动态的，这意味着可以即时调整服务器权重，例如用于慢启动。它在设计上限制为每个后端 4095 个活动服务器。请注意，在某些大型集群中，当服务器在非常短的时间内停机后重新启动时，可能需要数百个请求才能重新集成到集群中并开始接收流量。这是正常的，尽管非常罕见。在此处指出，以防您有机会观察到它，这样您就不用担心了。 static-rr 每个服务器根据其权重轮流使用。此算法与 roundrobin 非常相似，只是它是静态的，这意味着即时更改服务器的权重将无效。另一方面，它对服务器数量没有设计限制，并且当服务器启动时，一旦重新计算完整映射，它总是立即重新引入集群。它运行所需的 CPU 也稍微少一些（大约 -1%）。 leastconn 连接数最少的服务器接收连接。在具有相同负载的服务器组中执行轮询，以确保所有服务器都将被使用。建议在需要非常长会话（例如 LDAP、SQL、TSE 等）的情况下使用此算法，但不太适合使用短会话（例如 HTTP）的协议。此算法是动态的，这意味着可以即时调整服务器权重，例如用于慢启动。 first 第一个具有可用连接槽的服务器接收连接。服务器从最低数字标识符到最高数字标识符进行选择（请参阅 server 参数“id
此关键字可用于以下部分：
按字母顺序排列的关键字参考
绑定选项
服务器和默认服务器选项”），默认为服务器在集群中的位置。一旦服务器达到其 maxconn 值，将使用下一个服务器。如果不设置 maxconn，使用此算法没有意义。此算法的目的是始终使用最少的服务器数量，以便在非高峰时段可以关闭多余的服务器电源。此算法忽略服务器权重，对 RDP 或 IMAP 等长会话比 HTTP 带来更多好处，尽管它在那里也可能有用。为了有效地使用此算法，建议云控制器定期检查服务器使用情况，以便在未使用时将其关闭，并定期检查后端队列，以便在队列膨胀时启动新服务器。或者，使用“http-check send-state”可以通知服务器负载情况。 source 源 IP 地址被哈希并除以正在运行的服务器的总权重，以指定哪个服务器将接收请求。这确保了只要没有服务器停机或启动，相同的客户端 IP 地址将始终到达同一台服务器。如果由于正在运行的服务器数量发生变化而导致哈希结果发生变化，则许多客户端将被定向到不同的服务器。此算法通常用于无法插入 cookie 的 TCP 模式。它也可以用于 Internet，为拒绝会话 cookie 的客户端提供尽力而为的粘性。默认情况下，此算法是静态的，这意味着即时更改服务器的权重将无效，但这可以使用“hash-type”进行更改。 uri 此算法对 URI 的左侧部分（问号之前）或整个 URI（如果存在“whole”参数）进行哈希处理，并将哈希值除以正在运行的服务器的总权重。结果指定哪个服务器将接收请求。这确保了只要没有服务器启动或停机，相同的 URI 将始终被定向到同一台服务器。这与代理缓存和防病毒代理一起使用，以最大化缓存命中率。请注意，此算法只能在 HTTP 后端中使用。默认情况下，此算法是静态的，这意味着即时更改服务器的权重将无效，但这可以使用“hash-type”进行更改。此算法支持两个可选参数“len”和“depth”，两者后面都跟着一个正整数。当只需要根据 URI 的开头平衡服务器时，这些选项可能会有所帮助。参数“len”指示算法应仅考虑 URI 开头的那么多字符来计算哈希值。请注意，将“len”设置为 1 很少有意义，因为大多数 URI 都以开头的“/”开头。参数“depth”指示用于计算哈希的最大目录深度。请求中的每个斜杠计为一个级别。如果同时指定了这两个参数，则当达到任一参数时，评估停止。参数“path-only”指示哈希键从路径的第一个“/”开始。这可用于忽略绝对 URI 的 authority 部分，并确保 HTTP/1 和 HTTP/2 URI 将提供相同的哈希值。 url_param 将在每个 HTTP GET 请求的查询字符串中查找参数中指定的 URL 参数。如果使用修饰符“check_post”，则当在 URL 中问号（'?'）之后的查询字符串中未找到参数时，将在 HTTP POST 请求实体中搜索参数参数。消息正文将仅在接收到 advertised 数据量或请求缓冲区已满时才开始分析。在不太可能使用分块编码的情况下，仅扫描第一个块。由块边界分隔的参数值，如果根本没有，可能会随机平衡。此关键字过去支持可选的 <max_wait> 参数，该参数现在已被忽略。如果找到参数后面跟着等号（'='）和一个值，则该值被哈希并除以正在运行的服务器的总权重。结果指定哪个服务器将接收请求。这用于跟踪请求中的用户标识符，并确保只要没有服务器启动或停机，相同的用户 ID 将始终发送到同一台服务器。如果未找到值或未找到参数，则应用轮询算法。请注意，此算法只能在 HTTP 后端中使用。默认情况下，此算法是静态的，这意味着即时更改服务器的权重将无效，但这可以使用“hash-type”进行更改。 hdr(<name>) HTTP 标头 <name> 将在每个 HTTP 请求中查找。就像等效的 ACL 'hdr()' 函数一样，括号中的标头名称不区分大小写。如果标头不存在或者它不包含任何值，则应用轮询算法代替。可选的“use_domain_only”参数可用，用于将哈希算法缩减为主要域部分，并带有一些特定的标头，例如“Host”。例如，在 Host 值“haproxy.1wt.eu”中，只会考虑“1wt”。默认情况下，此算法是静态的，这意味着即时更改服务器的权重将无效，但这可以使用“hash-type”进行更改。 random random(<draws>) 一个随机数将用作一致哈希函数的键。这意味着服务器的权重得到尊重，动态权重更改立即生效，新服务器的添加也立即生效。随机负载均衡对于大型集群或服务器频繁添加或删除的情况可能很有用，因为它可以避免在这种情况下轮询或 leastconn 可能导致的敲击效应。hash-balance-factor 指令可用于进一步提高负载均衡的公平性，尤其是在服务器响应时间变化很大的情况下。当存在参数 <draws> 时，它必须是一个大于或等于一的整数值，表示在选择这些服务器中负载最小的服务器之前抽取的次数。确实有证据表明，选择两个服务器中负载最小的服务器足以显着提高算法的公平性，方法是始终避免选择集群中负载最大的服务器，并消除一致列表的不公平分布可能引起的任何偏差。较高的值 N 将以性能为代价移除 N-1 个负载最高的服务器。对于非常高的值，算法将收敛到 leastconn 的结果，但速度慢得多。默认值为 2，通常显示出非常好的分布和性能。此算法也称为“两个随机选择的力量”（Power of Two Random Choices），在此处进行了描述：http://www.eecs.harvard.edu/~michaelm/postscripts/handbook2001.pdf rdp-cookie rdp-cookie(<name>) RDP cookie <name>（如果省略，则为“mstshash”）将在每个传入的 TCP 请求中查找并哈希。就像等效的 ACL 'req_rdp_cookie()' 函数一样，名称不区分大小写。此机制可用作降级的持久性模式，因为它使得将同一用户（或同一会话 ID）始终发送到同一台服务器成为可能。如果未找到 cookie，则使用正常的轮询算法代替。请注意，为了使其工作，前端必须确保请求缓冲区中已存在 RDP cookie。为此，您必须使用“tcp-request content accept”规则并结合“req_rdp_cookie_cnt”ACL。默认情况下，此算法是静态的，这意味着即时更改服务器的权重将无效，但这可以使用“hash-type”进行更改。另请参阅 rdp_cookie 模式获取功能。 <arguments> 是一个可选参数列表，某些算法可能需要这些参数。目前，只有“url_param”和“uri”支持可选参数。

当没有设置其他算法、模式或选项时，后端的负载均衡算法被设置为 roundrobin。每个后端只能设置一次算法。对于需要相同连接的认证方案（如 NTLM），不得使用基于 URI 的算法，因为它们会导致后续请求被路由到不同的后端服务器，从而破坏 NTLM 所依赖的无效假设。

balance roundrobin balance url_param userid balance url_param session_id check_post 64 balance hdr(User-Agent) balance hdr(host) balance hdr(Host) use_domain_only

注意：使用“url_param”的“check_post”扩展时，必须考虑以下警告和限制： - 所有 POST 请求都有资格进行考虑，因为无法确定是否会在可能包含二进制数据的正文或实体中找到参数。因此，可能需要另一种方法来限制对正文中没有 URL 参数的 POST 请求的考虑。（请参阅 acl http_end） - 使用大于请求缓冲区大小的 <max_wait> 值没有意义且无用。缓冲区大小在构建时设置，默认为 16 kB。 - 不支持 Content-Encoding，参数搜索可能会失败；负载均衡将回退到轮询。 - 不支持 Expect: 100-continue，负载均衡将回退到轮询。 - Transfer-Encoding (RFC7230 3.3.1) 仅在第一个块中受支持。如果整个参数值不存在于第一个块中，则服务器的选择是不确定的（实际上，由第一个块中实际出现的多少来定义）。 - 此功能不支持生成 100、411 或 501 响应。 - 在某些情况下，请求“check_post”可能会尝试扫描整个消息正文内容。扫描通常在找到线性空白或控制字符时终止，这表示可能是 URL 参数列表的末尾。对于 SGML 类型消息正文来说，这可能不是问题。

在前端（frontend）中定义一个或多个监听地址和/或端口。

可用于节

defaults	frontend	listen	backend
否	是	是	否

<address> 是可选的，可以是主机名、IPv4 地址、IPv6 地址或“*”。它指定前端将监听的地址。如果未设置，将监听系统的所有 IPv4 地址。对于“*”或系统的特殊地址“0.0.0.0”也将适用。IPv6 等效项是“::”。 可选地，可以在地址之前使用地址族前缀来强制使用该族，而不管地址格式如何，这对于指定没有斜杠（'/'）的 unix 套接字路径很有用。目前支持的前缀有： - 'ipv4@' -> 地址始终为 IPv4 - 'ipv6@' -> 地址始终为 IPv6 - 'unix@' -> 地址是本地 unix 套接字的路径 - 'abns@' -> 地址位于抽象命名空间中（仅限 Linux）。注意：由于抽象套接字不可“重新绑定”，因此它们在软重启期间与多进程模式不兼容，因此如果 nbproc 大于 1，最好避免使用它们。效果是，如果新进程启动失败，只有一个旧进程能够重新绑定到套接字。 - 'fd@<n>' -> 使用从父级继承的文件描述符 <n>。fd 必须已绑定并且可能已在监听。 - 'sockpair@<n>' -> 类似于 fd@，但您必须使用已连接的 unix 套接字或 socketpair 的 fd。bind 等待通过 unix 套接字接收 FD，并将其用作 accept() 的 FD。应谨慎使用。您可能希望在地址参数中引用一些环境变量，请参阅第 2.3 节关于环境变量的内容。 <port_range> 是唯一的 TCP 端口，或者是代理将接受上述指定 IP 地址连接的端口范围。对于 TCP 监听器，端口是强制性的。请注意，在 IPv6 地址的情况下，端口始终是最后一个冒号（':'）之后的数字。范围可以是： - 数字端口（例如：“80”） - 带有破折号分隔的端口范围，明确说明下限和上限（例如：“2000-2100”），这些端口包含在范围内。必须特别注意端口范围，因为每个 <address:port> 对都会消耗一个套接字（= 一个文件描述符），因此很容易通过简单的范围消耗大量描述符，并耗尽套接字。此外，每个 <address:port> 对在同一系统上运行的所有实例中必须只使用一次。请注意，绑定到低于 1024 的端口通常需要特定的权限才能启动程序，这些权限独立于“uid”参数。 <path> 是以斜杠（'/'）开头的 UNIX 套接字路径。这是 TCP 监听端口的替代方案。然后 HAProxy 将在位于此处的套接字上接收 UNIX 连接。路径必须以斜杠开头，并且默认情况下是绝对路径。它可以是相对于全局部分中由“unix-bind”定义的前缀的相对路径。请注意，前缀后跟套接字路径的总长度不能超过 UNIX 套接字的一些系统限制，这些限制通常设置为 107 个字符。 <param*> 是同一行上声明的所有套接字共有的参数列表。这些众多参数取决于操作系统和构建选项，并有专门的部分介绍它们。请参阅第 5 节了解更多详细信息。

可以指定由逗号分隔的地址:端口组合列表。然后前端将侦听所有这些地址。前端可以侦听的地址和端口数量没有固定限制，前端中的“bind
此关键字在以下节中可用：
Peers
按字母顺序排序的关键字参考”语句的数量也没有限制。

listen http_proxy bind :80,:443 bind 10.0.0.1:10080,10.0.0.1:10443 bind /var/run/ssl-frontend.sock user root mode 600 accept-proxy listen http_https_proxy bind :80 bind :443 ssl crt /etc/haproxy/site.pem listen http_https_proxy_explicit bind ipv6@:80 bind ipv4@public_ssl:443 ssl crt /etc/haproxy/site.pem bind unix@ssl-frontend.sock user root mode 600 accept-proxy listen external_bind_app1 bind "fd@${FD_APP1}"

注意：关于 Linux 的抽象命名空间套接字，HAProxy 使用整个 sun_path 长度作为地址长度。其他一些程序，如 socat，默认只使用字符串长度。在 socat 中对任何抽象套接字定义传递选项 ",unix-tightsocklen=0"，以使其与 HAProxy 兼容。

将一个实例的可见性限制在特定的进程号集合中。

可用于节

defaults	frontend	listen	backend
是	是	是	是

all 所有进程都将看到此实例。这是默认设置。它可用于覆盖默认值。 odd 此实例将在进程 1、3、5、...、63 上启用。此选项可与其他数字组合使用。 even 此实例将在进程 2、4、6、...、64 上启用。此选项可与其他数字组合使用。如果进程少于 2 个，请不要使用它，否则某些实例可能会在所有进程中都缺失。 process_num 此实例将在此进程号或范围内启用，其值必须全部在 1 到 32 或 64 之间，具体取决于机器的字长。范围可以部分定义。可以省略上限。在这种情况下，它将被相应的最大值替换。如果一个代理被绑定到大于配置的 global.nbproc 的进程号，如果指定了单个进程，它将被强制到进程 #1，否则将被强制到所有进程。

此关键字限制某些实例绑定到某些进程。这有助于避免过多进程监听同一端口。例如，在双核机器上，在全局部分设置“nbproc 2”然后将监听器分配给“odd”和“even”实例可能是有意义的。目前，使用此关键字无法引用超过 32 或 64 个进程，但这对于大多数设置来说应该足够了。请注意，“all”确实表示所有进程，无论机器的字大小如何，并且不限于前 32 或 64 个。每行“bind
此关键字可用于以下部分：
对等体
按字母顺序排列的关键字参考”可以进一步限制为代理进程的子集，请参阅第 5.1 节中的“process”bind 关键字。当前端没有显式的“bind-process”行时，它会尝试绑定到其“bind
此关键字可用于以下部分：
对等体
按字母顺序排列的关键字参考”行引用的所有进程。这意味着前端可以轻松适应其监听器的进程。如果某些后端被绑定到其他进程的前端引用，则后端会自动继承前端的进程。

listen app_ip1 bind 10.0.0.1:80 bind-process odd listen app_ip2 bind 10.0.0.2:80 bind-process even listen management bind 10.0.0.3:80 bind-process 1 2 3 4 listen management bind 10.0.0.4:80 bind-process 1-4

在请求和响应中捕获并记录一个 cookie。

可用于节

defaults	frontend	listen	backend
否	是	是	否

<name> 是要捕获的 cookie 名称的开头。为了精确匹配名称，只需在名称后加上一个等号（'='）。完整的名称将出现在日志中，这对于会同时调整 cookie 名称和值的应用服务器（例如 ASPSESSIONXXX）很有用。<length> 是日志中报告的最大字符数，包括 cookie 名称、等号和值，全部采用标准的 "name=value" 格式。如果字符串超过 <length>，它将被从右侧截断。

仅捕获第一个 cookie。监视“cookie
此关键字可用于以下部分：
按字母顺序排列的关键字参考
服务器和默认服务器选项
获取 HTTP 样本（第 7 层）”请求标头和“set-cookie”响应标头。这对于检查导致用户之间会话交叉或窃取的应用程序错误特别有用，因为通常用户的 cookie 只能在登录页面上更改。当客户端未提供 cookie 时，相关的日志列将报告“-”。当请求未导致服务器分配 cookie 时，响应列中会报告“-”。捕获仅在前端执行，因为对于给定的前端，日志格式必须不因后端而异。将来可能会改变。请注意，前端中只能有一个“capture cookie”语句。最大捕获长度由全局“tune.http.cookielen”设置设置，默认为 63 个字符。无法在“defaults”部分中指定捕获。

capture cookie ASPSESSION len 32

捕获并记录指定请求头的最后一次出现。

可用于节

defaults	frontend	listen	backend
否	是	是	否

<name> 是要捕获的头的名称。头名称不区分大小写，但通常的做法是按照它们在请求中出现的样子来写，每个单词的首字母大写。头名称不会出现在日志中，只报告其值，但其在日志中的位置会得到尊重。<length> 是从值中提取并报告在日志中的最大字符数。如果字符串超过 <length>，它将被从右侧截断。

捕获标头最后一次出现的完整值。该值将添加到大括号（'{}'）之间的日志中。如果捕获了多个标头，它们将由竖线（'|'）分隔，并按照在配置中声明的顺序出现。不存在的标头将记录为空字符串。请求标头捕获的常见用途包括虚拟托管环境中的“Host”字段、支持上传时的“Content-length”、“User-agent”以快速区分真实用户和机器人，以及代理环境中的“X-Forwarded-For”以查找请求来自何处。请注意，在捕获“User-agent”等标头时，可能会记录一些空格，这会使日志分析更加困难。因此，如果您知道日志解析器不够智能，无法依赖大括号，请谨慎记录。捕获的请求标头数量及其长度没有限制，尽管明智的做法是保持较低水平以限制每个会话的内存使用量。为了使同一前端的日志格式保持一致，标头捕获只能在前端中声明。无法在“defaults”部分中指定捕获。

capture request header Host len 15 capture request header X-Forwarded-For len 15 capture request header Referer len 15

捕获并记录指定响应头的最后一次出现。

可用于节

defaults	frontend	listen	backend
否	是	是	否

<name> 是要捕获的头的名称。头名称不区分大小写，但通常的做法是按照它们在响应中出现的样子来写，每个单词的首字母大写。头名称不会出现在日志中，只报告其值，但其在日志中的位置会得到尊重。<length> 是从值中提取并报告在日志中的最大字符数。如果字符串超过 <length>，它将被从右侧截断。

捕获该头最后一次出现的完整值。结果将在捕获的请求头之后，添加在日志中的大括号 ('{}') 之间。如果捕获了多个头，它们将由竖线 ('|') 分隔，并按照它们在配置中声明的相同顺序出现。不存在的头将被记录为空字符串。响应头捕获的常见用途包括 "Content-length" 头，它指示预计将返回多少字节，以及 "Location" 头，用于跟踪重定向。捕获的响应头数量及其长度没有限制，但明智的做法是保持它们较低以限制每个会话的内存使用。为了保持同一前端的日志格式一致，头捕获只能在前端声明。不能在 "defaults" 配置段中指定捕获。

capture response header Content-length len 9 capture response header Location len 15

启用 HTTP 压缩。

可用于节

defaults	frontend	listen	backend
是	是	是	是

algo 后面是支持的压缩算法列表。type 后面是将要被压缩的 MIME 类型列表。offload 使 haproxy 仅作为压缩卸载器工作（见说明）。

目前支持的算法有： identity 这主要用于调试，对于开发压缩功能很有用。Identity 不对数据应用任何更改。 gzip 应用 gzip 压缩。此设置仅在内置 zlib 或 libslz 支持时可用。 deflate 与“gzip”相同，但使用 deflate 算法和 zlib 格式。请注意，许多浏览器对此算法的支持不明确，最近的浏览器根本不支持。强烈建议不要将其用于实验以外的任何目的。此设置仅在内置 zlib 或 libslz 支持时可用。 raw-deflate 与“deflate”相同，没有 zlib 包装器，当浏览器想要“deflate”时用作替代方案。所有主要浏览器都理解它，尽管违反了标准，但它已知比“deflate”工作得更好，至少在 MSIE 和某些版本的 Safari 上。不要与“deflate”结合使用，因为两者都对相同的 Accept-Encoding 令牌做出反应。此设置仅在内置 zlib 或 libslz 支持时可用。 压缩将根据 Accept-Encoding 请求标头激活。使用 identity 时，它不关心该标头。如果后端服务器支持 HTTP 压缩，这些指令将无效：haproxy 将看到压缩的响应，并且不会再次压缩。如果后端服务器不支持 HTTP 压缩且请求中存在 Accept-Encoding 标头，haproxy 将压缩匹配的响应。 “offload”设置使 haproxy 删除 Accept-Encoding 标头，以防止后端服务器压缩响应。强烈建议不要这样做，因为这意味着所有压缩工作都将在 haproxy 所在的单个点上完成。但是在某些部署场景中，haproxy 可能安装在具有损坏 HTTP 压缩实现且无法关闭的错误网关前面。在这种情况下，可以使用 haproxy 来防止该网关发出无效负载。在这种情况下，简单地在配置中删除标头不起作用，因为它在解析标头之前应用，从而阻止 haproxy 压缩。然后应将“offload”设置用于此类场景。注意：目前，在 defaults 部分中设置“offload”设置时会被忽略。 在以下情况下禁用压缩： * 请求未在“Accept-Encoding”标头中宣传支持的压缩算法 * 响应消息不是 HTTP/1.1 或更高版本 * HTTP 状态代码不是 200、201、202 或 203 之一 * 响应既不包含“Content-Length”标头，也不包含最后一个值为“chunked”的“Transfer-Encoding” * 响应包含“Content-Type”标头，其第一个值以“multipart”开头 * 响应在“Cache-control”标头中包含“no-transform”值 * User-Agent 与“Mozilla/4”匹配，除非它是带有 XP SP2 的 MSIE 6，或者是 MSIE 7 及更高版本 * 响应包含“Content-Encoding”标头，表明响应已被压缩（请参阅 compression offload） * 响应包含无效的“ETag”标头或多个 ETag 标头 注意：压缩不会发出 Warning 标头。

compression algo gzip compression type text/html text/plain

在后端启用基于 cookie 的持久性。

可用于节

defaults	frontend	listen	backend
是	否	是	是

<name> 是 cookie 的名称，它将被监控、修改或插入以实现持久性。此 cookie 通过响应中的 "Set-Cookie" 标头发送给客户端，并在所有请求中由客户端通过 "Cookie" 标头带回。应特别注意选择一个名称，以避免与任何可能的应用程序 cookie 发生冲突。此外，如果相同的后端可能被相同的客户端使用（例如 HTTP/HTTPS），如果不希望在它们之间实现持久性，则应注意在所有后端之间使用不同的 cookie 名称。rewrite 此关键字表示 cookie 将由服务器提供，haproxy 必须修改其值以设置服务器的标识符。当复杂的 "Set-cookie" 和 "Cache-control" 标头组合的管理留给应用程序时，此模式很方便。应用程序可以决定是否适合发出持久性 cookie。由于必须监控所有响应，此模式在 HTTP 隧道模式下不起作用。除非应用程序行为非常复杂和/或有缺陷，否则建议不要在新部署中从这种模式开始。此关键字与 "insert" 和 "prefix" 不兼容。insert 此关键字表示如果客户端尚未拥有允许其访问此服务器的 cookie，则 haproxy 必须在服务器响应中插入持久性 cookie。在不使用 "preserve" 选项的情况下使用时，如果服务器发出同名 cookie，则在处理之前将其删除。因此，此模式可用于升级在 "rewrite" 模式下运行的现有配置。该 cookie 将只是一个会话 cookie，不会存储在客户端的磁盘上。默认情况下，除非添加 "indirect" 选项，否则服务器将看到客户端发出的 cookie。由于缓存效应，通常明智的做法是添加 "nocache" 或 "postonly" 关键字（见下文）。"insert" 关键字与 "rewrite" 和 "prefix" 不兼容。prefix 此关键字表示不依赖于专用的持久性 cookie，而是将完成一个现有的 cookie。在某些特定环境中可能需要这样做，其中客户端不支持多个 cookie，并且应用程序已经需要它。在这种情况下，每当服务器设置名为 <name> 的 cookie 时，它将以服务器的标识符和分隔符作为前缀。前缀将从所有客户端请求中删除，以便服务器仍然找到它发出的 cookie。由于所有请求和响应都可能被修改，因此此模式在隧道模式下不起作用。"prefix" 关键字与 "rewrite" 和 "insert" 不兼容。注意：强烈建议不要将 "indirect" 与 "prefix" 一起使用，否则服务器 cookie 更新将不会发送给客户端。indirect 当指定此选项时，不会向已经拥有针对已处理请求的服务器的有效 cookie 的客户端发出 cookie。如果服务器本身设置了此类 cookie，则会将其删除，除非同时设置了 "preserve" 选项。在 "insert" 模式下，这还将从传输到服务器的请求中删除 cookie，从而使持久性机制从应用程序的角度来看完全透明。注意：强烈建议不要将 "indirect" 与 "prefix" 一起使用，否则服务器 cookie 更新将不会发送给客户端。nocache 当客户端和 HAProxy 之间存在缓存时，建议将此选项与 insert 模式结合使用，因为它确保如果需要插入 cookie，可缓存的响应将被标记为不可缓存。这很重要，因为如果所有持久性 cookie 都添加在可缓存的主页上，例如，所有客户都将从外部缓存中获取该页面，并且都将共享相同的持久性 cookie，导致一个服务器接收的流量比其他服务器多得多。另请参阅 "insert" 和 "postonly" 选项。postonly 此选项确保 cookie 插入将仅在对 POST 请求的响应上执行。它是 "nocache" 选项的替代方案，因为 POST 响应不可缓存，因此这确保了持久性 cookie 永远不会被缓存。由于大多数站点在第一次 POST（通常是登录请求）之前不需要任何形式的持久性，因此这是一种优化缓存而不会冒在缓存中找到持久性 cookie 风险的非常有效的方法。另请参阅 "insert" 和 "nocache" 选项。preserve 此选项只能与 "insert" 和/或 "indirect" 一起使用。它允许服务器自己发出持久性 cookie。在这种情况下，如果在响应中找到 cookie，haproxy 将保持不变。例如，这在注销请求后结束持久性时很有用。为此，服务器只需发出一个具有无效值（例如空）或过去日期的 cookie。通过将此机制与 "disable-on-404" 检查选项结合使用，可以执行完全优雅的关机，因为用户在注销后会明确离开服务器。httponly 此选项告诉 haproxy 在插入 cookie 时添加 "HttpOnly" cookie 属性。使用此属性是为了让用户代理不与非 HTTP 组件共享 cookie。请查看 RFC6265 以获取有关此属性的更多信息。secure 此选项告诉 haproxy 在插入 cookie 时添加 "Secure" cookie 属性。使用此属性是为了让用户代理永远不会通过非安全通道发出此 cookie，这意味着使用此标志学到的 cookie 将仅通过 SSL/TLS 连接呈现。请查看 RFC6265 以获取有关此属性的更多信息。domain 此选项允许指定插入 cookie 的域。它需要一个参数：一个有效的域名。如果域以点开头，则允许浏览器将其用于以该名称结尾的任何主机。也可以通过多次调用此选项来指定多个域名。某些浏览器可能对域的数量有限制，因此在使用时要小心。根据记录，向 MSIE 6 或 Firefox 2 发送 10 个域可以按预期工作。maxidle 此选项允许在一些空闲时间后忽略插入的 cookie。它仅适用于 insert-mode cookie。当 cookie 发送给客户端时，也会发送发出此 cookie 的日期。在后续呈现此 cookie 时，如果日期早于参数指示的延迟（以秒为单位），则将其忽略。否则，如果在将响应发送给客户端时需要，它将被刷新。这对于防止从未关闭浏览器的用户长时间停留在同一服务器上（例如，在农场大小更改之后）特别有用。设置此选项且 cookie 没有日期时，它始终被接受，但在响应中会刷新。这保持了管理员访问其站点的能力。日期在未来超过 24 小时的 cookie 将被忽略。这样做可以让管理员修复时区问题，而不会冒将用户踢出站点的风险。maxlife 此选项允许在一些生命周期后忽略插入的 cookie，无论它们是否在使用中。它仅适用于 insert mode cookie。当 cookie 第一次发送给客户端时，也会发送发出此 cookie 的日期。在后续呈现此 cookie 时，如果日期早于参数指示的延迟（以秒为单位），则将其忽略。如果请求中的 cookie 没有日期，它将被接受并设置日期。日期在未来超过 24 小时的 cookie 将被忽略。这样做可以让管理员修复时区问题，而不会冒将用户踢出站点的风险。与 maxidle 相反，此值不会刷新，只有第一次访问日期才算数。maxidle 和 maxlife 都可以同时使用。这对于防止从未关闭浏览器的用户长时间停留在同一服务器上（例如，在农场大小更改之后）特别有用。这比 maxidle 方法更强，因为它强制在某个绝对延迟后重新分派。dynamic 激活动态 cookie。使用时，会根据服务器的 IP 和端口以及在 "dynamic-cookie-key" 后端指令中指定的密钥为每个服务器动态创建一个会话 cookie。每次 IP 地址更改时都会重新生成 cookie，并且仅为 IPv4/IPv6 生成。attr 此选项告诉 haproxy 在插入 cookie 时添加一个额外的属性。属性值可以包含除控制字符或 ";" 以外的任何字符。此选项可以重复。

每个 HTTP 后端只能有一个持久性 cookie，并且可以在 defaults 部分声明。cookie 的值将是 "server
此关键字可用于以下部分：
Peers
按字母排序的关键字参考" 语句中的 "cookie
此关键字可用于以下部分：
按字母排序的关键字参考
Server and default-server options
Fetching HTTP samples (Layer 7)" 关键字后面指示的值。如果未为给定服务器声明 cookie，则不会设置 cookie。

cookie JSESSIONID prefix cookie SRV insert indirect nocache cookie SRV insert postonly indirect cookie SRV insert indirect nocache maxidle 30m maxlife 8h

声明一个捕获槽。

可用于节

defaults	frontend	listen	backend
否	是	是	否

<length> 是允许捕获的长度。

此声明仅在 frontend 或 listen 配置段中可用，但保留的槽可以在 backend 中使用。“request”关键字分配一个用于请求中的捕获槽，“response”分配一个用于响应中的捕获槽。

更改后端中服务器的默认选项。

可用于节

defaults	frontend	listen	backend
是	否	是	是

<param*> 是此服务器的参数列表。“default-server
此关键字可在以下段落中使用：
对等体
按字母排序的关键字参考”关键字接受大量选项，并有专门的完整章节介绍。更多详情请参阅 第 5 节。

default-server inter 1000 weight 13

指定在没有匹配到“use_backend”规则时使用的后端。

可用于节

defaults	frontend	listen	backend
是	是	是	否

<backend> 是要使用的后端的名称。

在使用“use_backend”关键字在前端和后端之间进行内容切换时，指明在没有规则匹配时将使用哪个后端通常很有用。这通常是动态后端，它将捕获所有未确定的请求。

use_backend dynamic if url_dyn use_backend static if url_css url_img extension_img default_backend dynamic

描述一个 listen、frontend 或 backend。

可用于节

defaults	frontend	listen	backend
否	是	是	是

允许添加一句话来在 HAProxy HTML 统计页面中描述相关对象。该描述将打印在其所描述对象名称的右侧。<string> 参数中的空格无需使用反斜杠转义。

禁用一个 proxy、frontend 或 backend。

可用于节

defaults	frontend	listen	backend
是	是	是	是

关键字 "disabled
此关键字可用于以下部分：
Peers
按字母排序的关键字参考
Server and default-server options" 用于禁用实例，主要用于释放监听端口或临时禁用服务。实例仍将创建并检查其配置，但它将以 "stopped" 状态创建，并在统计数据中显示为如此。它不会接收任何流量，也不会发送任何健康检查或日志。通过在 "defaults" 部分添加 "disabled
此关键字可用于以下部分：
Peers
按字母排序的关键字参考
Server and default-server options" 关键字，可以一次禁用多个实例。

设置一个默认服务器地址

可用于节

defaults	frontend	listen	backend
否	否	是	是

<address> 是默认服务器的 IPv4 地址。或者，也支持可解析的主机名，但此名称将在启动期间解析。<ports> 是一个强制性的端口规范。所有连接都将发送到此端口，并且不允许像普通服务器那样使用端口偏移量。

关键字 "dispatch" 指定在没有其他服务器可以接受连接时使用的默认服务器。过去，它用于将非持久连接转发到辅助负载均衡器。由于其简单的语法，它也被用于简单的 TCP 中继。建议不要使用它以获得更高的清晰度，并改用 "server
此关键字可用于以下部分：
Peers
按字母排序的关键字参考" 指令。

为后端设置动态 cookie 的密钥。