⚖️
HAProxy 치트시트

고성능 L4/L7 로드 밸런서 완전 가이드: frontend/backend/listen 아키텍처, 로드 밸런싱 알고리즘(roundrobin, leastconn, source), 실시간 헬스 체크, SSL/TLS Termination 오프로딩, ACL 경로/헤더 라우팅, Stick-tables 속도 제한 및 Stats 실시간 대시보드
#haproxy#load-balancer#reverse-proxy#high-availability#l4-l7#devops#infrastructure#ssl-termination최종 업데이트: 2026-10-10
HAProxy 치트시트 핵심 명령어 및 실전 가이드

## 1. HAProxy 설치 & 환경 구성 가이드 (Installation)

### 💻 시스템 설치 및 실행 요구사양 (System Requirements)

| 항목 | 최소 사양 (Minimum) | 권장 사양 (Recommended) | 참고 및 비고 |
| :--- | :--- | :--- | :--- |
| **운영체제 (OS)** | Linux (Ubuntu, Debian, RHEL, Rocky, Alpine), FreeBSD, macOS (개발용) | Ubuntu 22.04 LTS, Rocky Linux 9, Alpine Linux 3.19+ | 비동기 논블로킹 epoll 기반 고성능 이벤트 루프 최적화 |
| **CPU** | 1 코어 이상 (x86_64 / ARM64) | 4 코어 ~ 16 코어 이상 | 다중 코어 환경 시 `nbthread` 스레드 병렬화 지원 |
| **메모리 (RAM)** | 512 MB 이상 | 2 GB ~ 8 GB 이상 | 동시 연결 수(maxconn) 100,000건당 약 1GB~2GB 소모 |
| **디스크 (Storage)** | 100 MB 이상의 여유 공간 | 10 GB ~ 50 GB 이상의 NVMe SSD | Syslog 로깅(rsyslog/fluentd) 및 SSL 인증서 저장용 |
| **네트워크 / 런타임** | HAProxy 2.8 LTS 또는 3.0 LTS | 포트 80(HTTP), 443(HTTPS), 8404(Stats) | 방화벽 인바운드 허용 및 Keepalived VIP 연동 권장 |

---

### 🚀 운영체제별 설치 명령어

```bash
# 🐧 [1] Ubuntu / Debian 설치 (공식 PPA 최신 LTS 2.8+ 설치)
sudo apt update
sudo apt install --no-install-recommends software-properties-common -y
sudo add-apt-repository ppa:vbernat/haproxy-2.8 -y
sudo apt update
sudo apt install -y haproxy socat

# 서비스 등록 및 시작
sudo systemctl enable --now haproxy
sudo systemctl status haproxy

# 🐧 [2] RHEL / Rocky Linux 9 / AlmaLinux 설치
sudo dnf install -y epel-release
sudo dnf install -y haproxy socat
sudo systemctl enable --now haproxy

# 🐳 [3] Docker 단독 컨테이너 빠른 실행 (Alpine 경량 이미지)
# 기본 설정 파일 마운트 후 백그라운드 구동
docker run -d --name my-haproxy \
  -p 80:80 \
  -p 443:443 \
  -p 8404:8404 \
  -v $(pwd)/haproxy.cfg:/usr/local/etc/haproxy/haproxy.cfg:ro \
  --sysctl net.ipv4.ip_unprivileged_port_start=0 \
  haproxy:2.8-alpine

# 🍏 [4] macOS (로컬 테스트용 Homebrew 설치)
brew install haproxy
brew services start haproxy
```

---

## 2. HAProxy 핵심 멘탈 모델 & 아키텍처 (Mental Model & Architecture)

**HAProxy(High Availability Proxy)**는 초당 수십만 건의 대규모 트래픽을 처리하는 이벤트 드리븐(Event-Driven) 기반의 고성능 L4(TCP) 및 L7(HTTP) 역방향 프록시(Reverse Proxy) 겸 로드 밸런서입니다.

### 📐 패킷 흐름 및 아키텍처 다이어그램 (ASCII Diagram)

```text
[ Client Request ] (인바운드 클라이언트 요청)
       │
       ▼
┌─────────────────────────────────────────────────────────────────────────────┐
│                            HAProxy Server Engine                            │
│                                                                             │
│  [ global ]  프로세스 권한, 워커 스레드(nbthread), 통계 소켓(/run/admin.sock)│
│  [ defaults] 공통 타임아웃(client/server/connect), 기본 모드(http/tcp)      │
│                                                                             │
│  [ frontend: http_in (Port 80/443) ]                                        │
│     ├── SSL/TLS Termination (HTTPS 복호화 & HTTP/2 협상)                    │
│     ├── ACL 엔진 평가 (도메인, URL 경로, 헤더, 클라이언트 IP)               │
│     └── Stick-table 검사 (초당 요청 수 제한 & DDoS 차단)                    │
│             │                                                               │
│             ├── path_beg /api/   ──► [ backend: api_servers ]               │
│             ├── path_beg /static ──► [ backend: static_servers ]            │
│             └── default_backend  ──► [ backend: web_servers ]               │
│                                                                             │
│  [ backend: web_servers ]                                                   │
│     ├── 로드밸런싱 알고리즘 (roundrobin, leastconn, source)                 │
│     ├── 세션 고정성 (Cookie SERVERID injection)                             │
│     └── 백그라운드 액티브 헬스 체크 (Health Check Inter 2000ms)             │
│                                                                             │
│  [ listen: stats (Port 8404) ] ──► 웹 기반 실시간 트래픽 대시보드 UI        │
└──────────────────────────────────────┬──────────────────────────────────────┘
                                       │
        ┌──────────────────────────────┼──────────────────────────────┐
        ▼                              ▼                              ▼
┌───────────────┐              ┌───────────────┐              ┌───────────────┐
│ App Server 01 │              │ App Server 02 │              │ Backup Server │
│ 10.0.0.11:8080│              │ 10.0.0.12:8080│              │ 10.0.0.99:8080│
└───────────────┘              └───────────────┘              └───────────────┘
```

### 🧩 5대 설정 블록(Sections) 멘탈 모델 비교

| 블록 명칭 | 역할 및 주 목적 | 주요 포함 디렉티브 |
| :--- | :--- | :--- |
| **`global`** | OS 레벨의 프로세스 보안, 리소스 한계, 로그 소켓, 런타임 관리 소켓 정의 | `maxconn`, `user`, `group`, `stats socket`, `nbthread` |
| **`defaults`** | 모든 하위 섹션(frontend/backend/listen)에 자동 상속되는 공통 기본값 | `mode`, `timeout connect`, `timeout client`, `timeout server` |
| **`frontend`** | 클라이언트가 접근하는 인바운드 IP/포트 바인딩, SSL 복호화 및 ACL 라우팅 판별 | `bind`, `acl`, `use_backend`, `http-request redirect` |
| **`backend`** | 실제 서비스를 처리하는 대상 서버 풀(Pool), 로드 밸런싱 방식 및 헬스 체크 설정 | `balance`, `cookie`, `option httpchk`, `server ... check` |
| **`listen`** | `frontend`와 `backend`를 하나로 합친 일체형 블록 (주로 Stats 대시보드, L4 DB용) | `bind`, `balance`, `server`, `stats enable`, `stats uri` |

---

## 3. [초보자 1단계] 3분 헬로월드: 로컬 로드밸런서 실습 (Hello World)

가장 간단한 형태로 포트 80에서 요청을 받아 백엔드 웹서버 2대로 5:5 균등 분배(Round Robin)하고, 8404 포트에서 실시간 모니터링 웹 화면을 제공하는 완전한 설정 예제입니다.

### ① 단일 설정 파일 생성 (`haproxy.cfg`)

```haproxy
# /etc/haproxy/haproxy.cfg - 헬로월드 최소 동작 예제
global
    log stdout format raw local0
    maxconn 2048

defaults
    log     global
    mode    http
    option  httplog
    option  dontlognull
    timeout connect 5000ms
    timeout client  50000ms
    timeout server  50000ms

# [1] 클라이언트 요청 수신 엔드포인트
frontend http_in
    bind *:80
    default_backend web_cluster

# [2] 백엔드 실제 애플리케이션 서버 풀 (2대 라운드로빈)
backend web_cluster
    mode http
    balance roundrobin
    server app01 127.0.0.1:8081 check
    server app02 127.0.0.1:8082 check

# [3] 웹 브라우저 실시간 모니터링 대시보드
listen stats
    bind *:8404
    mode http
    stats enable
    stats uri /stats
    stats refresh 5s
```

### ② 테스트용 더미 백엔드 서버 2대 실행 (Python 1줄 웹서버)

터미널 2개를 열어 각각 다른 응답을 내보내는 간단한 HTTP 서버를 띄웁니다:
```bash
# 터미널 A: 8081 포트 백엔드 1 실행
python3 -c "from http.server import HTTPServer, BaseHTTPRequestHandler; class H(BaseHTTPRequestHandler): def do_GET(self): self.send_response(200); self.end_headers(); self.wfile.write(b'Response from Backend 01\n'); HTTPServer(('', 8081), H).serve_forever()"

# 터미널 B: 8082 포트 백엔드 2 실행
python3 -c "from http.server import HTTPServer, BaseHTTPRequestHandler; class H(BaseHTTPRequestHandler): def do_GET(self): self.send_response(200); self.end_headers(); self.wfile.write(b'Response from Backend 02\n'); HTTPServer(('', 8082), H).serve_forever()"
```

### ③ HAProxy 문법 검사 및 백그라운드 실행

```bash
# 설정 파일 문법 검증 (-c 옵션)
haproxy -c -f haproxy.cfg
# 정상 출력: Configuration file is valid

# 포그라운드 디버그 모드로 즉시 실행 (-d)
haproxy -f haproxy.cfg -db
```

### ④ 동작 검증 (curl 반복 요청)

```bash
curl http://localhost:80
# 출력: Response from Backend 01

curl http://localhost:80
# 출력: Response from Backend 02

curl http://localhost:80
# 출력: Response from Backend 01
```
> **웹 통계 확인**: 웹 브라우저로 `http://localhost:8404/stats` 접속 시 백엔드 2대의 상태(녹색 UP 표시)와 처리된 세션 카운트를 실시간 GUI로 확인할 수 있습니다.

---

## 4. [2단계] 핵심 기능: 로드 밸런싱 알고리즘 & 헬스 체크 (Balancing & Health)

### ⚖️ 로드 밸런싱 알고리즘 비교 (`balance <algorithm>`)

| 알고리즘 | 설명 및 동작 원리 | 권장 실무 시나리오 |
| :--- | :--- | :--- |
| **`roundrobin`** | 모든 서버에 순차적으로 요청을 1개씩 분배 (가중치 weight 동적 변경 가능) | 서버 사양이 균일하고 각 요청의 처리 시간이 유사한 일반 웹 서비스 |
| **`leastconn`** | 현재 활성 연결(Connection) 수가 가장 적은 서버로 우선 전달 | DB 쿼리, 파일 업로드 등 연결 유지 시간이 길고 편차가 큰 세션 |
| **`source`** | 클라이언트 IP를 해싱하여 동일 IP는 항상 동일한 백엔드 서버로 고정 | L4 TCP 모드 또는 별도 쿠키를 사용할 수 없는 환경의 세션 고정 |
| **`uri`** | 요청 URI 전체(또는 파라미터 제외 부분)를 해싱하여 동일 백엔드로 전송 | 백엔드 캐시 서버(Varnish, Squid 등)의 캐시 히트율(Hit Ratio) 극대화 |
| **`hdr(<name>)`** | 특정 HTTP 헤더 값(예: `User-Agent`, `X-User-Id`)을 기준으로 해싱 | 사용자 그룹별 전담 백엔드 분기 또는 A/B 테스팅 환경 |

---

### 🏥 프로덕션 헬스 체크 상세 설정 (Health Checks)

단순 TCP 연결 확인에 그치지 않고, 실제 애플리케이션 레이어(HTTP 응답 코드 및 바디 내용)를 검사하는 정밀 헬스 체크 구성법입니다.

```haproxy
backend api_cluster
    mode http
    balance roundrobin

    # [1] HTTP 헬스 체크 활성화 및 전송 방식 정의
    option httpchk
    http-check send meth GET uri /api/health ver HTTP/1.1 hdr Host api.luckytech.com
    # HTTP 상태 코드 200 또는 204만 정상(Healthy)으로 판정
    http-check expect status 200,204

    # [2] 서버 목록 및 장애/복구 임계치 정의
    # inter 2000 : 2000ms(2초)마다 헬스체크 전송
    # fall 3     : 3회 연속 실패 시 서버 DOWN 판정 (트래픽 제외)
    # rise 2     : DOWN 상태에서 2회 연속 성공 시 UP 복구
    # weight 100 : 가중치 (더 높은 사양 서버에 더 많은 트래픽 배분)
    # backup     : 일반 서버가 모두 다운되었을 때만 가동되는 비상 예비 서버
    server api01 10.0.1.11:8080 check inter 2000 fall 3 rise 2 weight 100
    server api02 10.0.1.12:8080 check inter 2000 fall 3 rise 2 weight 100
    server api03 10.0.1.13:8080 check inter 2000 fall 3 rise 2 weight 50
    server api_failover 10.0.1.99:8080 check backup
```

---

## 5. [2단계] 실시간 웹 대시보드 & SSL/TLS 오프로딩 (Stats & HTTPS)

### 📊 실시간 웹 대시보드 (Web Statistics Page)

보안 인증(HTTP Basic Auth)과 관리자 조작 권한을 갖춘 전용 모니터링 페이지 설정입니다.

```haproxy
listen stats_dashboard
    bind *:8404
    mode http
    stats enable
    stats uri /stats
    stats refresh 10s                      # 10초 주기 자동 새로고침
    stats show-legends                     # 상세 지표 설명 라벨 표시
    stats show-node                        # 현재 HAProxy 노드 이름 표기
    stats auth admin:SuperSecretKey99!     # 웹 접속 ID 및 패스워드 인증
    stats admin if TRUE                    # 웹 UI에서 직접 서버 Ready/Maint 전환 허용
```

---

### 🔒 SSL/TLS Termination (HTTPS 복호화 & HTTP/2 지원)

HAProxy는 인증서 파일과 개인키(Private Key)가 하나로 합쳐진 단일 `.pem` 파일을 요구합니다.

#### ① Let's Encrypt 또는 상용 인증서 PEM 합본 생성
```bash
# 인증서 본체와 개인키를 하나의 파일로 병합
sudo cat /etc/letsencrypt/live/example.com/fullchain.pem \
         /etc/letsencrypt/live/example.com/privkey.pem \
         > /etc/haproxy/certs/example.com.pem

# 보안을 위해 개인키 읽기 권한을 haproxy 전용으로 제한
sudo chmod 600 /etc/haproxy/certs/example.com.pem
sudo chown haproxy:haproxy /etc/haproxy/certs/example.com.pem
```

#### ② SSL 오프로딩 및 HTTP ➔ HTTPS 강제 리다이렉트 설정
```haproxy
frontend https_front
    # 80 포트(HTTP) 및 443 포트(HTTPS) 동시 바인딩
    bind *:80
    bind *:443 ssl crt /etc/haproxy/certs/example.com.pem alpn h2,http/1.1

    # 클라이언트가 HTTP(포트 80)로 접속한 경우 즉시 HTTPS로 301 영구 이동
    http-request redirect scheme https code 301 unless { ssl_fc }

    # 백엔드 서버로 실제 클라이언트 IP 전달을 위한 X-Forwarded-* 헤더 주입
    option forwardfor
    http-request set-header X-Forwarded-Proto https if { ssl_fc }
    http-request set-header X-Forwarded-Port %[dst_port]

    # 보안 응답 헤더 추가 (HSTS: 1년 적용)
    http-response set-header Strict-Transport-Security "max-age=31536000; includeSubDomains; preload"

    default_backend web_backend

backend web_backend
    mode http
    balance roundrobin
    server web01 10.0.0.21:8080 check
    server web02 10.0.0.22:8080 check
```

---

## 6. [3단계] 실무 응용: ACL 조건부 라우팅 & 세션 고정 (ACL & Sessions)

### 🔀 ACL(Access Control List) 기반 지능형 트래픽 라우팅

URL 경로(Path), 도메인(Host), 요청 헤더(Header) 조건에 따라 서로 다른 마이크로서비스 백엔드로 트래픽을 정밀하게 보냅니다.

```haproxy
frontend main_gateway
    bind *:80
    mode http

    # 1. ACL 조건 규칙 정의
    acl is_api         path_beg -i /api/
    acl is_auth        path_beg -i /oauth/ /login/
    acl is_static      path_end -i .jpg .jpeg .png .gif .css .js .ico .svg
    acl is_admin_sub   hdr_beg(host) -i admin.
    acl is_mobile      hdr_sub(User-Agent) -i Android iPhone iPad

    # 2. ACL 규칙에 따른 백엔드 매핑 (상단부터 순차 평가)
    use_backend admin_pool   if is_admin_sub
    use_backend auth_pool    if is_auth
    use_backend api_pool     if is_api
    use_backend static_pool  if is_static
    use_backend mobile_pool  if is_mobile

    # 어떤 조건에도 맞지 않을 때의 기본 백엔드
    default_backend default_web_pool

backend api_pool
    mode http
    balance leastconn
    server api_node1 10.0.2.11:8080 check
    server api_node2 10.0.2.12:8080 check

backend static_pool
    mode http
    balance roundrobin
    server cdn_proxy 10.0.3.50:80 check

backend default_web_pool
    mode http
    balance roundrobin
    server web_node1 10.0.1.11:8080 check
    server web_node2 10.0.1.12:8080 check
```

---

### 🍪 세션 고정성 (Sticky Sessions / Session Affinity)

로그인 상태가 세션 메모리에 유지되는 레거시 웹 환경을 위해, HAProxy가 클라이언트 브라우저에 쿠키를 삽입하여 최초 접속한 서버로 연결을 영구 고정합니다.

```haproxy
backend session_sticky_pool
    mode http
    balance roundrobin

    # SERVERID 쿠키를 클라이언트에 삽입(insert)하고, 캐시되지 않도록(nocache) 지정
    cookie SERVERID insert indirect nocache

    # 각 서버에 고유 쿠키 식별자(s1, s2) 부여
    server app_srv01 10.0.1.11:8080 check cookie s1
    server app_srv02 10.0.1.12:8080 check cookie s2
```
> **동작 메커니즘**: 최초 요청 시 HAProxy가 응답 헤더에 `Set-Cookie: SERVERID=s1; path=/`를 내려줍니다. 이후 브라우저가 보낸 쿠키 값을 읽어 항상 `app_srv01`로만 전송합니다.

---

## 7. [3단계] L4 TCP 로드 밸런싱 & Stick-tables DDoS 방어 (L4 & Rate Limit)

### 🗄️ L4 TCP 모드 데이터베이스(MySQL) 클러스터 분산

HTTP 헤더를 파싱하지 않고 순수 전송 계층(TCP 패킷) 수준에서 초고속으로 부하를 분산합니다.

```haproxy
# /etc/haproxy/haproxy.cfg - MySQL 읽기 복제본(Read Replica) 부하 분산
listen mysql_read_cluster
    bind *:3306
    mode tcp
    option tcplog
    balance leastconn

    # MySQL 연결 타임아웃 최적화
    timeout connect 3000ms
    timeout client  1m
    timeout server  1m

    # MySQL 네이티브 헬스체크 (유저 권한이 없는 핑 패킷 검사)
    option mysql-check user haproxy_check

    server db_replica_01 192.168.10.101:3306 check inter 3000 rise 2 fall 3
    server db_replica_02 192.168.10.102:3306 check inter 3000 rise 2 fall 3
    server db_replica_03 192.168.10.103:3306 check inter 3000 rise 2 fall 3
```

---

### 🛡️ Stick-tables 기반 IP별 초당 요청률 차단 (Rate Limiting & DDoS 방어)

외부 비인가 스크래퍼나 DoS 공격자를 탐지하여, 단일 IP가 10초간 50회 이상의 요청을 보낼 경우 즉시 `HTTP 429 Too Many Requests`로 차단합니다.

```haproxy
frontend security_front
    bind *:80
    mode http

    # 1. 인메모리 테이블 정의: 최대 100만 개 IP 추적, 10초 미사용 시 만료
    # 추적 항목: 10초간 누적 HTTP 요청 수 (http_req_rate)
    stick-table type ip size 1m expire 10s store http_req_rate(10s)

    # 2. 인입된 클라이언트의 출발지 IP(src)를 카운터에 기록
    http-request track-sc0 src

    # 3. 신뢰할 수 있는 내부 관리자 IP는 검사 예외(Whitelist)
    acl is_whitelist src 192.168.1.0/24 10.0.0.0/8

    # 4. 10초간 50회를 초과한 IP 요청 거부 (429 반환)
    http-request deny deny_status 429 if { sc_http_req_rate(0) gt 50 } !is_whitelist

    default_backend general_backend

backend general_backend
    mode http
    balance roundrobin
    server srv1 10.0.0.11:8080 check
    server srv2 10.0.0.12:8080 check
```

---

## 8. CLI 제어 & 런타임 소켓 API (CLI & Runtime Socket)

### 💻 필수 서비스 관리 및 무중단 리로드

```bash
# [1] 설정 파일 문법 검사 (설정 변경 후 반드시 먼저 실행!)
sudo haproxy -c -f /etc/haproxy/haproxy.cfg

# [2] 서비스 중단 없는 무중단 리로드 (Graceful Reload)
# 기존 연결을 유지하면서 새로운 프로세스로 자연스럽게 전환
sudo systemctl reload haproxy

# [3] 전통적인 바이너리 직접 무중단 리로드 (systemd 없을 때)
haproxy -f /etc/haproxy/haproxy.cfg -p /run/haproxy.pid -sf $(cat /run/haproxy.pid)

# [4] 서비스 시작 / 중지 / 현재 상태 확인
sudo systemctl start haproxy
sudo systemctl stop haproxy
sudo systemctl status haproxy
```

---

### 🔌 Unix Domain Socket을 통한 무중단 런타임 제어 (`socat`)

`global` 섹션에 `stats socket /run/haproxy/admin.sock mode 660 level admin`이 설정되어 있다면, 프로세스 재시작 없이 런타임에 서버를 즉시 격리하거나 가중치를 바꿀 수 있습니다.

```bash
# [1] HAProxy 전체 시스템 상태 및 메트릭 요약 조회
echo "show info" | sudo socat stdio /run/haproxy/admin.sock

# [2] 모든 프론트엔드/백엔드 서버 상태 실시간 CSV 출력
echo "show stat" | sudo socat stdio /run/haproxy/admin.sock

# [3] 🚀 무중단 애플리케이션 배포 시: 특정 서버 트래픽 즉시 차단 (점검 모드)
# 새로운 세션 유입을 막고 기존 활성 세션 완료 후 우아하게 제외됨
echo "disable server web_backend/web01" | sudo socat stdio /run/haproxy/admin.sock

# [4] 배포 완료 후: 특정 서버 정상 트래픽 투입
echo "enable server web_backend/web01" | sudo socat stdio /run/haproxy/admin.sock

# [5] 런타임에 서버 가중치(Weight) 동적 변경 (가중치를 50으로 하향)
echo "set server web_backend/web01 weight 50" | sudo socat stdio /run/haproxy/admin.sock

# [6] 활성 Stick-table 조회 (공격자 IP 목록 실시간 확인)
echo "show table security_front" | sudo socat stdio /run/haproxy/admin.sock
```

---

## 9. 실무 트러블슈팅 & 프로덕션 운영 체크리스트 (Best Practices)

### ⚠️ 초보자가 가장 흔히 겪는 5대 실수 및 해결책

| 증상 및 문제점 | 원인 분석 | 확실한 해결 가이드 |
| :--- | :--- | :--- |
| **`503 Service Unavailable: No server is available`** | 모든 백엔드 서버가 헬스체크 실패(DOWN)로 판정됨 | `check` 포트 번호, 방화벽 차단 여부, `option httpchk`에 지정된 `/health` URI가 200을 반환하는지 `curl`로 직접 테스트 |
| **`Connection refused` 또는 간헐적 멈춤** | 시스템 오픈 파일 디스크립터 한계 및 `maxconn` 부족 | `/etc/security/limits.conf`에 `haproxy nofile 100000` 설정 후 `global` 섹션의 `maxconn 50000` 상향 조정 |
| **백엔드 로그에 클라이언트 IP가 127.0.0.1로 기록됨** | 프록시가 실제 클라이언트 IP 헤더를 주입하지 않음 | `frontend`에 `option forwardfor` 디렉티브 추가 후 백엔드(Nginx/Tomcat)에서 `X-Forwarded-For` 헤더를 읽도록 설정 |
| **`cannot load certificate ... no private key found`** | HAProxy는 단일 PEM 파일 안에 인증서와 키가 함께 있어야 함 | `cat cert.pem key.pem > combined.pem` 명령으로 합본 파일을 생성하여 `crt` 경로에 지정 |
| **L4 DB 프록시 통신 실패 (`Invalid HTTP request`)** | TCP 프로토콜 대상에 `mode http`가 상속되어 있음 | 해당 `listen` 또는 `frontend/backend` 블록 최상단에 `mode tcp`를 명시하여 L7 파싱 중단 |

---

### 🚀 리눅스 커널 파라미터 고성능 최적화 (`/etc/sysctl.conf`)

초당 수만 건의 연결을 안정적으로 처리하기 위한 OS 커널 튜닝 값입니다:

```ini
# /etc/sysctl.d/99-haproxy.conf
# 1. 포트 고갈 방지를 위한 로컬 포트 범위 확대
net.ipv4.ip_local_port_range = 1024 65535

# 2. 소켓 대기 큐 크기 증가 (연결 폭주 시 패킷 드롭 방지)
net.core.somaxconn = 65535
net.ipv4.tcp_max_syn_backlog = 65535

# 3. TIME_WAIT 상태의 소켓을 새 연결에 안전하게 재사용
net.ipv4.tcp_tw_reuse = 1

# 4. FIN 단계 타임아웃 단축 (소켓 자원 빠른 반환)
net.ipv4.tcp_fin_timeout = 15

# 5. 비로컬 IP 바인딩 허용 (Keepalived Active-Passive VIP 이중화 필수 설정)
net.ipv4.ip_nonlocal_bind = 1
```
설정 반영 명령어: `sudo sysctl -p /etc/sysctl.d/99-haproxy.conf`

---

### 🛡️ Keepalived 연동 Active-Passive VIP 이중화 구조

단일 HAProxy 서버가 물리적으로 고장 나는 SPOF(Single Point of Failure)를 방지하기 위해 2대의 HAProxy 노드를 가상 IP(VIP)로 묶는 권장 구성입니다.

```text
               ┌───────────────────────────────┐
               │    Virtual IP (192.168.1.10)  │
               └───────────────┬───────────────┘
                               │ VRRP Protocol
                ┌──────────────┴──────────────┐
                ▼                             ▼
       [ Master HAProxy ]            [ Backup HAProxy ]
       (192.168.1.11 - Active)       (192.168.1.12 - Standby)
                │                             │
                └──────────────┬──────────────┘
                               ▼
                    [ Backend Web Server Pool ]
```
1. 마스터 HAProxy가 살아있을 때는 192.168.1.11이 VIP(192.168.1.10)를 소유합니다.
2. 마스터 프로세스 다운 시 Keepalived의 VRRP 헬스체크 스크립트(`killall -0 haproxy`)가 이를 감지하고 1초 이내에 백업 노드(192.168.1.12)로 VIP를 자동 인계(Failover)합니다.
💬
HAProxy 치트시트

의견 및 질문

댓글 수정

댓글 삭제
