Répartir la charge sur des serveurs backend sous pfSense 2.6 via HAProxy

4. Ajouter un serveur frontal (Frontend)

Comme dit précédemment, pour pouvoir accéder à vos serveurs en arrière-plan, vous devez ajouter un serveur frontal dans HAProxy.
C'est à ce serveur que les clients externes (présents sur Internet ou ayant accès à l'interface WAN de pfSense) accèderont.

Pour cela, allez dans l'onglet "Frontend" de pfSense et cliquez sur : Add.

Sur la page "Edit HAProxy Frontend" qui apparait, configurez ces paramètres :

• Name : un nom à titre indicatif pour ce serveur frontal.
  Par exemple : WebSite.
• Description : une description à titre indicatif pour ce serveur frontal.
• Status : Active.
• External address : l'adresse externe que vos clients devront utiliser pour accéder à votre pool de serveurs web.
  • Listen address : l'adresse à laquelle vos clients devront accéder.
    Par défaut, l'adresse IPv4 de l'interface WAN de pfSense.
    Donc, sélectionnez "WAN address (IPv4)".
  • Custom address : laissez vide. La case est désactivée dans ce cas-ci étant donné que vous avez sélectionné "WAN address (IPv4)".
  • Port : spécifier le port WAN sur lequel ce serveur frontal écoutera.
    Etant donné que le port 80 est utilisé par défaut par pfSense pour l'accès à son interface web, spécifiez un autre numéro de port.
    Par exemple : 8080.

Dans la section "Default Backend, access control lists and actions", sélectionnez le pool de serveurs backend à utiliser par défaut.
Dans notre cas, nous sélectionnons "Default Backend : WebServers".

Dans la section "Advanced settings", configurez ces paramètres :

• Use "forwardfor" option : cochez la case "Use ''forwardfor'' option" pour ajouter l'adresse IP réelle du client ayant demandé la page souhaitée dans l'en-tête HTTP "X-Forwarder-For".
• Use "httpclose" option : sélectionnez "httpclose" pour vous assurez que la valeur qui sera indiquée dans l'en-tête HTTP "X-Forwarder-For" soit toujours correcte.

Cliquez sur Save.

Cliquez sur Apply Changes.

Votre serveur frontal (Frontend) apparait avec :

• On : indique que ce serveur frontal est activé.
• Name : le nom de ce serveur frontal.
• Description : sa description.
• Address : l'adresse et le port externes que le client devra indiquer dans son navigateur web pour accéder à ce serveur frontal.
• Type : http. Indique qu'il s'agit d'un serveur frontal permettant d'accéder à un serveur web.
• Backend : indique quel pool de serveurs sera utilisé en arrière-plan.
  Dans notre cas : WebServers.

5. Configurer les paramètres de HAProxy

Pour configurer les paramètres de HAProxy et activer ce service HAProxy, allez dans : Services -> HAProxy.

Dans la section "General settings", cochez la case "Enable HAProxy" pour activer HAProxy et spécifiez le nombre maximal de connexions géré simultanément par processus.
Dans notre cas : 1000.

Notez que plus le nombre de connexions maximums est élevé, plus la mémoire sera utilisée. (Voir tableau affiché par pfSense.)

Dans la section "Stats tab, 'internal' stats port", indiquez le port qui sera utilisé pour les statistiques de HAProxy.
Par défaut : 2200.

En bas de page, cliquez sur Save.

Cliquez sur : Apply Changes.

Plain Text

The haproxy configuration has been changed.
You must apply the changes in order for them to take effect.

6. Autoriser l'accès au serveur frontal de HAProxy

Pour que votre serveur frontal soit accessible depuis l'extérieur (interface WAN de pfSense), vous devez ajouter une règle dans le pare-feu de pfSense.
Pour cela, allez dans : Firewall -> Rules.

Dans l'onglet "WAN", cliquez sur : Add.

Configurez la règle comme ceci :

• Action : Pass. Permet d'autoriser le trafic réseau.
• Interface : WAN. Le serveur frontal sera accessible via l'interface WAN de pfSense (ou depuis Internet).
• Address Family : IPv4. Dans notre cas, nous utilisons seulement l'IPv4 et le serveur frontal est configuré pour être accessible uniquement via l'adresse WAN en IPv4 dans notre cas.
• Protocol : TCP. Un serveur web utilise par défaut le port TCP 80 (HTTP).

Ensuite, configurez ceci :

• Source : à moins que le client externe (présent sur Internet) ait une adresse IP publique statique (fixe), vous autoriserez plutôt n'importe qui (Any) comme source.
• Destination : le serveur frontal de HAProxy est configuré pour être accessible via l'adresse WAN de pfSense.
  Donc, sélectionnez "WAN address".
• Destination Port Range : le serveur frontal de HAProxy est configuré pour écouter sur le port 8080.
• Description : indiquez "local website access through HAProxy", par exemple.

Cliquez sur Save.

Cliquez sur : Apply Changes.

La règle a été créée.

7. Tester la répartition de charge via le serveur frontal

Dans notre cas, l'adresse IP WAN de pfSense est "192.168.1.10".

Conformément aux informations de Netgate, pour tester la répartition de charge via le serveur frontal, ouvrez un navigateur web en navigation privée et tapez l'adresse du serveur web frontal.

Dans notre cas, nous arrivons sur notre 1er serveur web.

Ensuite, appuyez plusieurs fois sur F5 et vous verrez que vous accèderez au serveur 2.
Le choix étant fait aléatoirement à chaque tentative d'accès au serveur web frontal de HAProxy.

8. Afficher les statistiques de HAProxy

Pour afficher les statistiques de HAProxy, allez dans : Services -> HAProxy.

Allez dans l'onglet "Stats".

Grâce à ce rapport, vous pourrez voir le statut des serveurs web situés en arrière-plan (backend).

Source : Server Load Balancing on pfSense 2.4 - pfSense Hangout July 2017 (pages 14 à 17).