# 3. Секция global
> Безопасность процессов, настройка производительности, отладка и параметры HTTP-клиента
---
Индекс LLMS: [llms.txt](/ru/llms.txt)
---
Параметры секции "global" действуют на весь процесс и часто зависят от ОС. Обычно их задают один раз, и после правильной настройки менять их не требуется. У некоторых есть эквиваленты в командной строке.
В секции "global" поддерживаются следующие ключевые слова:
- Управление процессами и безопасность
- 51degrees-allow-unmatched
- 51degrees-cache-size
- 51degrees-data-file
- 51degrees-difference
- 51degrees-drift
- 51degrees-property-name-list
- 51degrees-property-separator
- 51degrees-use-performance-graph
- 51degrees-use-predictive-graph
- ca-base
- chroot
- cluster-secret
- cpu-affinity
- cpu-map
- cpu-policy
- cpu-set
- crt-base
- daemon
- default-path
- description
- deviceatlas-json-file
- deviceatlas-log-level
- deviceatlas-properties-cookie
- deviceatlas-separator
- dns-accept-family
- expose-deprecated-directives
- expose-experimental-directives
- external-check
- fd-hard-limit
- gid
- grace
- group
- h1-accept-payload-with-any-method
- h1-case-adjust
- h1-case-adjust-file
- h1-do-not-close-on-insecure-transfer-encoding
- h2-workaround-bogus-websocket-clients
- hard-stop-after
- harden.reject-privileged-ports.tcp
- harden.reject-privileged-ports.quic
- insecure-fork-wanted
- insecure-setuid-wanted
- issuers-chain-path
- jwt.allow_none_alg
- jwt.decrypt_alg_list
- jwt.decrypt_enc_list
- key-base
- limited-quic
- localpeer
- log
- log-send-hostname
- log-tag
- lua-load
- lua-load-per-thread
- lua-prepend-path
- max-threads-per-group
- mworker-max-reloads
- nbthread
- node
- numa-cpu-mapping
- ocsp-update.disable
- ocsp-update.maxdelay
- ocsp-update.mindelay
- ocsp-update.httpproxy
- ocsp-update.mode
- pidfile
- pp2-never-send-local
- presetenv
- prealloc-fd
- resetenv
- set-dumpable
- set-var
- setenv
- ssl-default-bind-ciphers
- ssl-default-bind-ciphersuites
- ssl-default-bind-client-sigalgs
- ssl-default-bind-curves
- ssl-default-bind-options
- ssl-default-bind-sigalgs
- ssl-default-server-ciphers
- ssl-default-server-ciphersuites
- ssl-default-server-client-sigalgs
- ssl-default-server-curves
- ssl-default-server-options
- ssl-default-server-sigalgs
- ssl-dh-param-file
- ssl-propquery
- ssl-provider
- ssl-provider-path
- ssl-security-level
- ssl-server-verify
- ssl-skip-self-issued-ca
- stats
- stats-file
- strict-limits
- uid
- ulimit-n
- unix-bind
- unsetenv
- user
- wurfl-cache-size
- wurfl-data-file
- wurfl-information-list
- wurfl-information-list-separator
- Настройка производительности
- busy-polling
- max-spread-checks
- maxcompcpuusage
- maxcomprate
- maxconn
- maxconnrate
- maxpipes
- maxsessrate
- maxsslconn
- maxsslrate
- maxzlibmem
- no-memory-trimming
- noepoll
- noevports
- nogetaddrinfo
- nokqueue
- noktls
- nopoll
- noreuseport
- nosplice
- profiling.memory
- profiling.tasks
- server-state-base
- server-state-file
- spread-checks
- ssl-engine
- ssl-mode-async
- tune.applet.zero-copy-forwarding
- tune.buffers.limit
- tune.buffers.reserve
- tune.bufsize
- tune.bufsize.large
- tune.bufsize.small
- tune.cli.max-payload-size
- tune.comp.maxlevel
- tune.defaults.purge
- tune.disable-fast-forward
- tune.disable-zero-copy-forwarding
- tune.epoll.mask-events
- tune.events.max-events-at-once
- tune.fail-alloc
- tune.fd.edge-triggered
- tune.h1.be.glitches-threshold
- tune.h1.fe.glitches-threshold
- tune.h1.zero-copy-fwd-recv
- tune.h1.zero-copy-fwd-send
- tune.h2.be.glitches-threshold
- tune.h2.be.initial-window-size
- tune.h2.be.max-concurrent-streams
- tune.h2.be.max-frames-at-once
- tune.h2.be.rxbuf
- tune.h2.fe.glitches-threshold
- tune.h2.fe.initial-window-size
- tune.h2.fe.max-concurrent-streams
- tune.h2.fe.max-frames-at-once
- tune.h2.fe.max-rst-at-once
- tune.h2.fe.max-total-streams
- tune.h2.fe.rxbuf
- tune.h2.header-table-size
- tune.h2.initial-window-size
- tune.h2.max-concurrent-streams
- tune.h2.max-frame-size
- tune.h2.zero-copy-fwd-send
- tune.http.cookielen
- tune.http.logurilen
- tune.http.maxhdr
- tune.idle-pool.shared
- tune.idletimer
- tune.lua.bool-sample-conversion
- tune.lua.burst-timeout
- tune.lua.forced-yield
- tune.lua.log.loggers
- tune.lua.log.stderr
- tune.lua.maxmem
- tune.lua.openlibs
- tune.lua.service-timeout
- tune.lua.session-timeout
- tune.lua.task-timeout
- tune.max-checks-per-thread
- tune.maxaccept
- tune.maxpollevents
- tune.maxrewrite
- tune.max-rules-at-once
- tune.memory.hot-size
- tune.pattern.cache-size
- tune.peers.max-updates-at-once
- tune.pipesize
- tune.pool-high-fd-ratio
- tune.pool-low-fd-ratio
- tune.pt.zero-copy-forwarding
- tune.quic.be.cc.cubic-min-losses
- tune.quic.be.cc.hystart
- tune.quic.be.cc.max-frame-loss
- tune.quic.be.cc.max-win-size
- tune.quic.be.cc.reorder-ratio
- tune.quic.be.max-idle-timeout
- tune.quic.be.sec.glitches-threshold
- tune.quic.be.stream.data-ratio
- tune.quic.be.stream.max-concurrent
- tune.quic.be.stream.rxbuf
- tune.quic.be.tx.pacing
- tune.quic.be.tx.udp-gso
- tune.quic.cc.cubic.min-losses (устарело)
- tune.quic.cc-hystart (устарело)
- tune.quic.disable-tx-pacing (устарело)
- tune.quic.disable-udp-gso (устарело)
- tune.quic.fe.cc.cubic-min-losses
- tune.quic.fe.cc.hystart
- tune.quic.fe.cc.max-frame-loss
- tune.quic.fe.cc.max-win-size
- tune.quic.fe.cc.reorder-ratio
- tune.quic.fe.max-idle-timeout
- tune.quic.fe.sec.glitches-threshold
- tune.quic.fe.sec.retry-threshold
- tune.quic.fe.sock-per-conn
- tune.quic.fe.stream.data-ratio
- tune.quic.fe.stream.max-concurrent
- tune.quic.fe.stream.max-total
- tune.quic.fe.stream.rxbuf
- tune.quic.fe.tx.pacing
- tune.quic.fe.tx.udp-gso
- tune.quic.frontend.max-data-size (устарело)
- tune.quic.frontend.max-idle-timeout (устарело)
- tune.quic.frontend.max-streams-bidi (устарело)
- tune.quic.frontend.max-tx-mem (устарело)
- tune.quic.frontend.stream-data-ratio (устарело)
- tune.quic.frontend.default-max-window-size (устарело)
- tune.quic.listen
- tune.quic.max-frame-loss (устарело)
- tune.quic.mem.tx-max
- tune.quic.reorder-ratio (устарело)
- tune.quic.retry-threshold (устарело)
- tune.quic.socket-owner (устарело)
- tune.quic.zero-copy-fwd-send
- tune.renice.runtime
- tune.renice.startup
- tune.rcvbuf.backend
- tune.rcvbuf.client
- tune.rcvbuf.frontend
- tune.rcvbuf.server
- tune.recv_enough
- tune.ring.queues
- tune.runqueue-depth
- tune.sched.low-latency
- tune.sndbuf.backend
- tune.sndbuf.client
- tune.sndbuf.frontend
- tune.sndbuf.server
- tune.streams-elasticity
- tune.stick-counters
- tune.ssl.cachesize
- tune.ssl.capture-buffer-size
- tune.ssl.capture-cipherlist-size (устарело)
- tune.ssl.certificate-compression
- tune.ssl.default-dh-param
- tune.ssl.force-private-cache
- tune.ssl.hard-maxrecord
- tune.ssl.keylog
- tune.ssl.keyupdate-rate-limit
- tune.ssl.lifetime
- tune.ssl.maxrecord
- tune.ssl.ssl-ctx-cache-size
- tune.ssl.ocsp-update.maxdelay (устарело)
- tune.ssl.ocsp-update.mindelay (устарело)
- tune.takeover-other-tg-connections
- tune.vars.global-max-size
- tune.vars.proc-max-size
- tune.vars.reqres-max-size
- tune.vars.sess-max-size
- tune.vars.txn-max-size
- tune.zlib.memlevel
- tune.zlib.windowsize
- Debugging
- anonkey
- debug.counters
- force-cfg-parser-pause
- quiet
- warn-blocked-traffic-after
- zero-warning
- HTTPClient
- httpclient.resolvers.disabled
- httpclient.resolvers.id
- httpclient.resolvers.prefer
- httpclient.retries
- httpclient.ssl.ca-file
- httpclient.ssl.verify
- httpclient.timeout.connect
## 3.1. Управление процессами и безопасность {#section-3-1}
`**
```haproxy
51degrees-data-file
```
Путь к файлу данных 51Degrees для определения устройств. Файл следует распаковать и предоставить HAProxy необходимые права доступа к нему.
Обратите внимание: этот параметр доступен только в том случае, если HAProxy собран с USE_51DEGREES.
...]`**
```haproxy
51degrees-property-name-list [ ...]
```
Список имён свойств 51Degrees, которые нужно загрузить из набора данных. Полный список имён доступен на сайте 51Degrees:
Обратите внимание: этот параметр доступен только в том случае, если HAProxy собран с USE_51DEGREES.
`**
```haproxy
51degrees-property-separator
```
Символ, добавляемый после каждого значения свойства в заголовке ответа с результатами 51Degrees. Если не задан, используется ','.
Обратите внимание: этот параметр доступен только в том случае, если HAProxy собран с USE_51DEGREES.
`**
```haproxy
51degrees-cache-size
```
Задаёт размер кэша преобразователя 51Degrees: `` записей. Этот кэш LRU хранит результаты предыдущих определений устройств. По умолчанию кэш отключён.
Обратите внимание: этот параметр доступен только в том случае, если HAProxy собран с USE_51DEGREES.
`**
```haproxy
51degrees-drift
```
Задаёт допустимую величину смещения при определении устройства.
Обратите внимание: этот параметр доступен только в том случае, если HAProxy собран с USE_51DEGREES и 51DEGREES_VER=4.
`**
```haproxy
51degrees-difference
```
Задаёт допустимую величину различия при определении устройства.
Обратите внимание: этот параметр доступен только в том случае, если HAProxy собран с USE_51DEGREES и 51DEGREES_VER=4.
`**
```haproxy
ca-base
```
Задаёт каталог по умолчанию для загрузки сертификатов центров сертификации SSL и списков отзыва CRL, когда в директивах "ca-file", "ca-verify-file" или "crl-file" указан относительный путь. Абсолютные пути в "ca-file", "ca-verify-file" и "crl-file" имеют приоритет; "ca-base" в этом случае игнорируется.
| auto }`**
```haproxy
chroot { | auto }
```
Меняет текущий каталог на `` и выполняет в нём chroot() перед сбросом привилегий. Это повышает безопасность при эксплуатации неизвестной уязвимости, поскольку существенно затрудняет атакующему дальнейшее воздействие на систему. Важно убедиться, что каталог `` пуст и никому не доступен для записи. Если процесс запущен с правами суперпользователя, chroot() выполняется напрямую. В Linux при запуске без привилегий haproxy пытается выполнить его в новом пользовательском пространстве имён, созданном с помощью unshare(CLONE_NEWUSER); если этот механизм недоступен, chroot() завершается обычной ошибкой.
В качестве особого случая для `` можно указать "auto". Тогда haproxy создаёт анонимный временный каталог, удаляет ссылку на него и выполняет chroot в этот каталог. Полученная изолированная среда не имеет имени в файловой системе, пуста и доступна только для чтения; отдельный каталог для неё подготавливать не требуется.
Если при запуске с правами суперпользователя chroot не используется, выводится предупреждение, призывающее всегда применять этот механизм. Если есть веская причина отказаться от chroot, например доступ к серверу через сокет UNIX с неудобным путём, предупреждение можно отключить, явно добавив "chroot /". Преимущество такой записи в том, что она видна в конфигурации.
`**
```haproxy
close-spread-time
```
Задаёт временной интервал, по которому распределяется закрытие простаивающих и активных соединений при плавной остановке. После получения SIGUSR1 и окончания льготного периода, если он задан, при отсутствии этого параметра все простаивающие соединения закрываются сразу. Активные соединения HTTP или HTTP2 завершаются после получения следующего запроса: в ответ HTTP добавляется строка "Connection: close", а в случае HTTP2 отправляется кадр GOAWAY. Если параметр задан, закрытие соединений распределяется по указанному интервалу ``. Если close-spread-time имеет значение "infinite", закрытие активных соединений при плавной остановке отключается. Заголовок "Connection: close" больше не добавляется в ответы HTTP, а GOAWAY не отправляется для HTTP2; простаивающие соединения закрываются только по истечении их тайм-аутов, определяемых соответствующими параметрами конфигурации.
Аргументы:
```text
— временной интервал (по умолчанию в миллисекундах), на протяжении
которого распределяется закрытие соединений при мягкой остановке;
значение "infinite" отключает активное закрытие соединений.
```
Если используется параметр "hard-stop-after", для этого параметра рекомендуется задать меньшее значение, чтобы все соединения успели корректно закрыться до остановки процесса.
См. также: grace, hard-stop-after, idle-close-on-response
`**
```haproxy
cluster-secret
```
Задаёт общий секрет в виде строки ASCII для нескольких узлов одного кластера. Он может применяться для разных целей. В частности, из него выводятся токены сброса без сохранения состояния для всех соединений QUIC, созданных этим процессом, а также секреты для шифрования токенов Retry.
Если этот параметр не задан, при запуске процесса выбирается случайное значение. Это позволяет использовать зависящие от него возможности, хотя и с некоторыми ограничениями.
[/] [,...] [...]`**
```haproxy
cpu-map [auto:][/] [,...] [...]
```
В некоторых операционных системах группу потоков или отдельный поток можно привязать к определённому набору CPU. Это означает, что указанные потоки никогда не будут выполняться на других CPU. Директива "cpu-map" задаёт наборы CPU для отдельных потоков или групп потоков. Первый аргумент — диапазон групп потоков, за которым можно указать набор потоков. Эти диапазоны имеют следующий формат:
```text
all | odd | even | number[-[number]]
```
`` должен быть числом от 1 до 32 или 64 в зависимости от разрядности машинного слова. Идентификаторы групп, превышающие 'thread-groups', и идентификаторы потоков, превышающие разрядность машинного слова, игнорируются. Все номера потоков отсчитываются относительно группы, к которой они принадлежат. Диапазон можно задать двумя такими числами, разделёнными дефисом ('-'). Можно также указать все потоки сразу с помощью "all", только потоки с нечётными номерами с помощью "odd" или с чётными номерами с помощью "even", как и в директиве привязки "thread". Второй и последующие аргументы — наборы CPU. Каждый набор CPU задаётся либо одним номером, начиная с 0 для первого CPU, либо диапазоном из двух таких номеров, разделённых дефисом ('-'). Номера и диапазоны CPU можно перечислять через запятую или передавать дополнительные диапазоны как новые аргументы в той же строке. В операционных системах, отличных от Linux и BSD, максимальный индекс CPU может быть ограничен значением 31 или 63. Можно задать несколько директив "cpu-map", но каждая из них заменяет предыдущие в той части, где они пересекаются.
Диапазоны можно задавать частично: верхнюю границу можно опустить. Тогда вместо неё используется соответствующее максимальное значение — 32 или 64 в зависимости от разрядности машинного слова.
Перед набором потоков можно добавить префикс "auto:", чтобы HAProxy автоматически привязывал потоки к CPU, последовательно увеличивая номера потоков и CPU в наборах. Оба набора должны иметь одинаковый размер. Независимо от порядка объявления наборов CPU привязка выполняется от меньшего номера к большему. С префиксом "auto:" нельзя одновременно задавать диапазон групп и диапазон потоков. Поддерживается только один диапазон; второй элемент должен быть фиксированным числом.
Обратите внимание: диапазоны групп поддерживаются по историческим причинам. Сейчас отдельное число обозначает группу потоков; если группы потоков не используются, оно должно быть равно 1. При указании номера или диапазона потоков без использования групп потоков перед ним необходимо добавить "1/". Запись "1" полностью эквивалентна "1/all" и обозначает все потоки группы.
Примеры:
```shell
cpu-map 1/all 0-3 # bind all threads of the first group on the
# first 4 CPUs
cpu-map 1/1- 0- # will be replaced by "cpu-map 1/1-64 0-63"
# or "cpu-map 1/1-32 0-31" depending on the machine's
# word size.
# all these lines bind thread 1 to the cpu 0, the thread 2 to cpu 1
# and so on.
cpu-map auto:1/1-4 0-3
cpu-map auto:1/1-4 0-1 2-3
cpu-map auto:1/1-4 3 2 1 0
cpu-map auto:1/1-4 3,2,1,0
# bind each thread to exactly one CPU using all/odd/even keyword
cpu-map auto:1/all 0-63
cpu-map auto:1/even 0-31
cpu-map auto:1/odd 32-63
# invalid cpu-map because thread and CPU sets have different sizes.
cpu-map auto:1/1-4 0 # invalid
cpu-map auto:1/1 0-3 # invalid
# map 40 threads of those 4 groups to individual CPUs
cpu-map auto:1/1-10 0-9
cpu-map auto:2/1-10 10-19
cpu-map auto:3/1-10 20-29
cpu-map auto:4/1-10 30-39
# Map 80 threads to one physical socket and 80 others to another socket
# without forcing assignment. These are split into 4 groups since no
# group may have more than 64 threads.
cpu-map 1/1-40 0-39,80-119 # node0, siblings 0 & 1
cpu-map 2/1-40 0-39,80-119
cpu-map 3/1-40 40-79,120-159 # node1, siblings 0 & 1
cpu-map 4/1-40 40-79,120-159
```
`**
```haproxy
cpu-affinity
```
Определяет способ привязки потоков к CPU. Сейчас поддерживаются следующие значения:
- per-core: каждый поток привязывается ко всем аппаратным потокам одного ядра.
- per-group: каждый поток привязывается ко всем аппаратным потокам группы. Это значение по умолчанию,
если в "cpu-policy" не задано "threads-per-core 1". "per-group" принимает необязательный аргумент,
определяющий распределение CPU. Когда список CPU превышает максимально допустимое число CPU в группе
и его нужно разделить между несколькими группами, дополнительный параметр позволяет выбрать способ
привязки групп к этим CPU:
- auto: каждой группе потоков выделяется соразмерная доля последовательных ядер CPU, которые
используются только ею и не разделяются с другими группами. Это значение по умолчанию, поскольку
обычно оно обеспечивает более оптимальную работу.
- loose: каждой группе по-прежнему разрешается использовать любой CPU из списка. Обычно это
усиливает конкуренцию за ресурсы, но иногда помогает лучше справляться с посторонней нагрузкой
на тех же CPU.
- auto: обычно используется "per-group". Если в "cpu-policy" задано "threads-per-core 1",
используется "per-core". Это значение по умолчанию.
- per-thread: каждый поток привязывается только к одному аппаратному потоку. Если в "cpu-policy"
задано "threads-per-core 1", каждый поток привязывается к одному аппаратному потоку отдельного ядра.
- per-ccx: каждый поток привязывается ко всем аппаратным потокам одного CCX.
[threads-per-core 1 | auto]`**
```haproxy
cpu-policy [threads-per-core 1 | auto]
```
Выбирает политику распределения CPU.
В системах с несколькими CPU может быть много причин не использовать все доступные ядра или распределять их по разным группам потоков: производительность, задержки, стоимость или управление ресурсами всей системы. Директива "cpu-set" уже позволяет исключить часть CPU, но после этого нужно решить, как распределить оставшиеся между потоками и группами потоков.
Обычно это распределение задаётся директивой "cpu-map", однако в неоднородных системах поддерживать такую настройку может быть особенно трудно.
Если "cpu-map" не используется, директива "cpu-policy" позволяет выбрать вместо него одну из нескольких политик распределения. Сейчас поддерживаются следующие политики; по умолчанию используется "performance":
- none: дополнительный отбор не выполняется. Можно использовать все включённые CPU. Если число
потоков не задано, оно принимается равным числу доступных CPU, но не более 32 в 32-битных системах
или 64 в 64-битных системах на одну группу потоков. Если число групп потоков не задано, используется 1.
- efficiency: работает так же, как описанная ниже "group-by-ccx", но исключает кластеры CPU из ядер,
производительность которых более чем на 25% превышает производительность следующего, менее
производительного типа. Обычно это ядра "big" или "performance". Таким образом, при обнаружении
нескольких типов ядер CPU используется только энергоэффективный. Это может быть полезно при
умеренной нагрузке, когда самые мощные ядра нужно оставить приложению или компоненту безопасности.
Некоторые современные CPU имеют много таких энергоэффективных ядер, которые вместе обеспечивают
приемлемую производительность при меньшем энергопотреблении.
- first-usable-node: если набор CPU ранее не был ограничен при запуске, например утилитой "taskset",
и директива "nbthread" не задана, используется первый узел NUMA с включёнными CPU. Число этих CPU
принимается за число потоков. Для всех них включается одна группа потоков с ограничением в 32
или 64 в зависимости от системы.
- group-by-2-ccx: работает так же, как описанная ниже "group-by-ccx", но создаёт одну группу на каждые два
CCX. Это может быть полезно для CPU с большим числом CCX, в каждом из которых мало ядер,
чтобы не создавать слишком много групп или немного выровнять распределение, когда используются
не все ядра. Обратите внимание: при медленном обмене между CCX производительность может
существенно ухудшиться. Обычно эту политику использовать не рекомендуется.
- group-by-2-clusters: работает так же, как описанная "group-by-cluster", но создаёт одну группу на каждые два
кластера. Это может быть полезно для CPU с большим числом кластеров, в каждом из которых мало ядер,
чтобы не создавать слишком много групп или немного выровнять распределение, когда используются
не все ядра. Обратите внимание: при медленном обмене между кластерами производительность может
существенно ухудшиться. Обычно эту политику использовать не рекомендуется.
- group-by-3-ccx: работает так же, как описанная ниже "group-by-ccx", но создаёт одну группу на каждые три
CCX. Это может быть полезно для CPU с большим числом CCX, в каждом из которых мало ядер,
чтобы не создавать слишком много групп или немного выровнять распределение, когда используются
не все ядра. Обратите внимание: при медленном обмене между CCX производительность может
существенно ухудшиться. Обычно эту политику использовать не рекомендуется.
- group-by-3-clusters: работает так же, как описанная "group-by-cluster", но создаёт одну группу на каждые три
кластера. Это может быть полезно для CPU с большим числом кластеров, в каждом из которых мало ядер,
чтобы не создавать слишком много групп или немного выровнять распределение, когда используются
не все ядра. Обратите внимание: при медленном обмене между кластерами производительность может
существенно ухудшиться. Обычно эту политику использовать не рекомендуется.
- group-by-4-ccx: работает так же, как описанная ниже "group-by-ccx", но создаёт одну группу на каждые четыре
CCX. Это может быть полезно для CPU с большим числом CCX, в каждом из которых мало ядер,
чтобы не создавать слишком много групп или немного выровнять распределение, когда используются
не все ядра. Обратите внимание: при медленном обмене между CCX производительность может
существенно ухудшиться. Обычно эту политику использовать не рекомендуется.
- group-by-4-clusters: работает так же, как описанная "group-by-cluster", но создаёт одну группу на каждые четыре
кластера. Это может быть полезно для CPU с большим числом кластеров, в каждом из которых мало ядер,
чтобы не создавать слишком много групп или немного выровнять распределение, когда используются
не все ядра. Обратите внимание: при медленном обмене между кластерами производительность может
существенно ухудшиться. Обычно эту политику использовать не рекомендуется.
- group-by-ccx: если не заданы ни "nbthread", ни "nbtgroups", для каждого комплекса ядер CPU
("CCX") с доступными CPU создаётся одна группа потоков с числом потоков, равным числу CPU. CCX
объединяет CPU с одинаково быстрым доступом к кэшу последнего уровня ("LLC"), обычно к L3.
В большинстве современных систем для производительности критически важно не объединять CPU из
удалённых CCX в одну группу потоков. Все потоки группы привязываются ко всем CPU этого CCX,
чтобы обмен внутри группы оставался локальным для CCX без чрезмерно жёсткой привязки.
Соблюдаются ограничения на число потоков в группе и на число групп потоков. Эта политика
рекомендуется для многосокетных систем и систем NUMA, а также для CPU с большими задержками
обмена между CCX.
- group-by-cluster: если не заданы ни "nbthread", ни "nbtgroups", для каждого кластера CPU с
доступными CPU создаётся одна группа потоков с числом потоков, равным числу CPU. Все потоки
группы привязываются ко всем CPU кластера, чтобы обмен внутри группы оставался локальным для
кластера без чрезмерно жёсткой привязки. Соблюдаются ограничения на число потоков в группе
и на число групп потоков. Эта политика рекомендуется для многосокетных систем и систем NUMA,
а также для CPU с большими задержками обмена между CCX. В большинстве серверных систем
кластеры и CCX совпадают, но в неоднородных системах ("performance" и "efficiency" либо "big"
и "little") кластер обычно включает лишь часть CCX с очень похожими CPU: одного типа и
с разницей частот не более +/-5%. Это различие заметно на современных ноутбуках и настольных
компьютерах, на которых разработчики и администраторы проверяют конфигурации.
- performance: работает так же, как описанная выше "group-by-ccx", но исключает кластеры CPU из
ядер, производительность которых составляет менее 80% от производительности следующего, более
производительного типа. Обычно это ядра "little" или "efficient": их добавление, как правило,
не даёт существенного выигрыша и легко может ухудшить результат, например при рукопожатиях TLS.
Часто гораздо эффективнее оставить такие ядра для других задач, например обработки сети.
В системах разработки на них также можно запускать вспомогательные средства, например
генераторы нагрузки и средства мониторинга. Это политика по умолчанию.
- resource: работает так же, как описанная выше "group-by-cluster", но использует только самый
маленький и энергоэффективный кластер CPU, игнорируя все остальные. Это позволяет ограничить
использование ресурсов необходимым минимумом, при котором ещё сохраняется приемлемая
производительность. Например, можно дополнительно снизить энергопотребление или сократить
число ядер для вспомогательного процесса sidecar в арендованной системе, чтобы было проще
уменьшить выделенные ей ресурсы. Обратите внимание: если кластер всего один, он всё равно используется целиком.
Можно добавить необязательное ключевое слово "threads-per-core". Оно принимает значения "1" и "auto". При значении 1 создаётся только один поток на ядро независимо от числа аппаратных потоков этого ядра. При значении auto создаётся по одному потоку на каждый аппаратный поток. Если привязка явно не задана и используется threads-per-core 1, по умолчанию применяется привязка per-core.
См. также: "cpu-map", "cpu-set", "nbthread"
...`**
```haproxy
cpu-set ...
```
Позволяет символически описать наборы CPU для выполнения. Директива поддерживает следующие ключевые слова: - reset отменяет все прежние ограничения, которые могли быть унаследованы, например, от диспетчера служб или команды "taskset". - drop-cpu `` не привязывает к CPU из этого набора - only-cpu `` не привязывает к CPU вне этого набора - drop-node `` не привязывает к CPU этого узла NUMA - only-node `` не привязывает к CPU других узлов NUMA - drop-cluster `` не привязывает к CPU аппаратного кластера с этим номером - only-cluster `` не привязывает к CPU аппаратных кластеров с другими номерами - drop-core `` не привязывает к CPU аппаратного ядра с этим номером - only-core `` не привязывает к CPU аппаратных ядер с другими номерами - drop-thread `` не привязывает к CPU аппаратного потока с этим номером - only-thread `` не привязывает к CPU аппаратных потоков с другими номерами См. также: "cpu-policy"
`**
```haproxy
crt-base
```
Задаёт каталог по умолчанию для загрузки сертификатов SSL, когда в директивах "crtfile" или "crt" используется относительный путь. Заданные абсолютные пути имеют приоритет; "crt-base" в этом случае игнорируется.
}`**
```haproxy
default-path { current | config | parent | origin }
```
По умолчанию HAProxy загружает все файлы с относительными путями из каталога, в котором был запущен процесс. В некоторых случаях желательно принудительно отсчитывать относительные пути от другого каталога, как если бы процесс был запущен из него. Для этого и предназначена эта директива. Технически она временно выполняет chdir() в указанный каталог при обработке каждого конфигурационного файла и возвращается в исходный каталог после обработки каждого файла. Аргумент задаёт политику загрузки файлов, путь к которым не начинается с косой черты ('/'): - "current" означает, что все файлы с относительными путями загружаются из каталога запуска процесса; это значение по умолчанию.
- "config" означает, что все файлы с относительными путями следует загружать из каталога конфигурационного файла. Точнее, если путь к конфигурационному файлу содержит косую черту ('/'), для перехода используется вся часть пути до последней косой черты; иначе используется текущий каталог. Этот режим удобен для объединения таблиц соответствий, файлов ошибок, сертификатов и сценариев Lua в перемещаемые пакеты. При загрузке нескольких конфигурационных файлов каталог обновляется для каждого из них.
- "parent" означает, что все файлы с относительными путями следует загружать из родительского каталога по отношению к каталогу конфигурационного файла. Точнее, если путь к конфигурационному файлу содержит косую черту ('/'), к части пути до последней косой черты добавляется ".."; полученный путь используется для перехода. В противном случае используется каталог "..". Этот режим удобен для объединения таблиц соответствий, файлов ошибок, сертификатов и сценариев Lua в перемещаемые пакеты, где каждая часть находится в своём подкаталоге, например "config/", "certs/", "maps/" и т. д.
- "origin" означает, что все файлы с относительными путями следует загружать из каталога, путь к которому обязательно должен быть указан. Это упрощает управление несколькими экземплярами HAProxy, работающими параллельно в одной системе: у каждого экземпляра может быть собственный префикс, а остальные секции остаются легко перемещаемыми.
Каждая директива "default-path" немедленно заменяет предыдущую и может привести к переходу в другой каталог. Хотя это должно давать ожидаемый результат, использовать несколько директив default-path не рекомендуется. Если они всё же используются, следует придерживаться согласованной политики во всех конфигурационных файлах.
Предупреждение: некоторые элементы конфигурации, например таблицы соответствий или сертификаты, однозначно определяются заданным для них путём. При использовании перемещаемой структуры несколько элементов могут получить одно и то же уникальное имя, что затруднит их обновление во время работы, особенно если несколько конфигурационных файлов загружаются из разных каталогов. Перед переходом на относительные пути необходимо строго придерживаться схемы именования файлов без коллизий. Надёжным решением может быть добавление к именам всех файлов префикса с именем соответствующего сайта либо применение такого префикса на уровне каталогов.
`**
```haproxy
description
```
Добавляет текст с описанием экземпляра.
Обратите внимание: некоторые символы, например #, необходимо экранировать. Поскольку этот текст вставляется в страницу HTML, следует избегать символов "\<" и "\>".
`**
```haproxy
deviceatlas-json-file
```
Задаёт путь к файлу данных DeviceAtlas в формате JSON, который загружает API. Путь должен указывать на корректный файл данных JSON, доступный процессу HAProxy.
`**
```haproxy
deviceatlas-log-level
```
Задаёт уровень информации, возвращаемой API. Директива необязательна; если она не задана, по умолчанию используется 0.
`**
```haproxy
deviceatlas-properties-cookie
```
Задаёт имя клиентского cookie, используемого для определения устройства, если при запросе применялся клиентский компонент DeviceAtlas. Директива необязательна; если она не задана, по умолчанию используется DAPROPS.
`**
```haproxy
deviceatlas-separator
```
Задаёт символ-разделитель для результатов свойств API. Директива необязательна; если она не задана, по умолчанию используется \|.
[,...]`**
```haproxy
dns-accept-family [,...]
```
По умолчанию резолверы DNS принимают адреса IPv4 и IPv6. На выбор можно влиять ключевым словом "resolve-prefer" в строках server и аргументом семейства в действии "do-resolve", однако это только предпочтение: оно не запрещает использовать другое семейство, если доступно только оно. В средах, где невозможно использовать оба стека, недоступная запись DNS только с адресом IPv6 может вызвать серьёзные проблемы: она заменит прежнюю запись IPv4, которая, возможно, продолжала бы работать до следующего запроса. Глобальный параметр "dns-accept-family" позволяет принудительно использовать только одно семейство адресов или оба. Аргумент — список следующих слов через запятую: - "ipv4": запрашивать и принимать адреса IPv4 (записи "A") - "ipv6": запрашивать и принимать адреса IPv6 (записи "AAAA") - "auto": использовать IPv4, а также IPv6, если в системе для него есть шлюз по умолчанию. Результат последней проверки кэшируется на 30 секунд.
Если используется одно семейство, запросы к резолверам для другого семейства не отправляются, а любые ответы для него игнорируются. Начиная с 3.3 значение по умолчанию — "auto": оба семейства включаются только после подтверждения возможности маршрутизации IPv6; иначе используется только IPv4. См. также: "resolve-prefer", "do-resolve"
`**
```haproxy
fd-hard-limit
```
Задаёт верхнюю границу числа файловых дескрипторов, используемых процессом, независимо от системных лимитов. Значение можно принудительно задать через "ulimit-n" и "maxconn"; если они не заданы, процесс ограничивается жёстким лимитом RLIMIT_NOFILE, который показывает "ulimit -n -H". Однако некоторые современные ОС допускают здесь чрезвычайно большие значения, порядка 1 миллиарда, что при обычной работе потребовало бы слишком много RAM. Параметр fd-hard-limit позволяет установить для этого лимита, возможно, более низкую верхнюю границу. Если системные лимиты ниже ``, они всегда соблюдаются; если выше, используется заданное значение. По умолчанию fd-hard-limit равен 1048576. Это значение можно изменить переменной времени компиляции DEFAULT_MAXFD, которая может служить максимальным системным лимитом ядра при чрезмерно большом жёстком лимите RLIMIT_NOFILE. Параметр fd-hard-limit в секции global позволяет временно переопределить значение DEFAULT_MAXFD, заданное при сборке. В следующем примере другие параметры не заданы, и maxconn автоматически подстраивается под меньшее из значений "fd-hard-limit" и лимита RLIMIT_NOFILE:
```text
global
# use as many FDs as possible but no more than 50000
fd-hard-limit 50000
```
См. также: ulimit-n, maxconn
`**
```haproxy
gid
```
Меняет идентификатор группы процесса на ``. Рекомендуется выделить эту группу для HAProxy или небольшого набора схожих демонов. HAProxy должен запускаться от пользователя, входящего в эту группу, либо с правами суперпользователя. Обратите внимание: если пользователь запуска имеет дополнительные группы, HAProxy сможет отказаться от них только при запуске с правами суперпользователя. См. также "group" и "uid".
`**
```haproxy
grace
```
Задаёт задержку между SIGUSR1 и фактической плавной остановкой.
Аргументы:
```text
— дополнительная задержка (по умолчанию в миллисекундах) после
получения сигнала SIGUSR1, которую нужно выждать перед переходом
к мягкой остановке.
```
Используется для совместимости с устаревшими средами, где процесс haproxy нужно остановить, но внешние компоненты должны обнаружить его состояние до освобождения слушающих сокетов. Внутренняя переменная "stopping", которую возвращает одноимённая функция извлечения образца "stopping", переключается в true. При этом слушающие сокеты продолжают принимать соединения без изменений до истечения задержки, после чего начинается обычная плавная остановка. Это нельзя использовать для процессов, конфигурация которых перезагружается: старый процесс не сможет освободить сокеты, что может помешать запуску нового или вызвать другие проблемы.
Пример:
```shell
global
grace 10s
# Returns 200 OK until stopping is set via SIGUSR1
frontend ext-check
bind :9999
monitor-uri /ext-check
monitor fail if { stopping }
```
Обратите внимание: более гибкий и устойчивый подход — чтобы система оркестрации задавала глобальную переменную через CLI, использовала её при ответах на внешние проверки, а затем после задержки отправляла сигнал SIGUSR1.
Пример:
```shell
# Returns 200 OK until proc.stopping is set to non-zero. May be done
# from HTTP using set-var(proc.stopping) or from the CLI using:
# > set var proc.stopping int(1)
frontend ext-check
bind :9999
monitor-uri /ext-check
monitor fail if { var(proc.stopping) -m int gt 0 }
```
См. также: hard-stop-after, monitor
`**
```haproxy
group
```
Аналогичен "gid", но использует GID группы с именем `` из /etc/group. См. также "gid" и "user".
`**
```haproxy
h1-case-adjust
```
Задаёт преобразование регистра имени заголовка `` в `` перед отправкой клиентам или серверам HTTP/1, если такое преобразование включено. `` должен быть в нижнем регистре, а `` и `` должны различаться только регистром. Если нужно изменить несколько имён заголовков, директиву можно повторять. Дубликаты запрещены. Если имён много, удобнее может быть "h1-case-adjust-file". Обратите внимание: преобразование не применяется, пока для прокси не задано "option h1-case-adjust-bogus-client" или "option h1-case-adjust-bogus-server".
Стандартного регистра имён заголовков нет: как указано в RFC7230, они нечувствительны к регистру. Поэтому приложения должны обрабатывать их без учёта регистра. Однако некоторые некорректные приложения нарушают стандарты и ошибочно полагаются на регистр, который чаще всего используют браузеры. Для HTTP/2 эта проблема критична, поскольку все имена заголовков должны передаваться в нижнем регистре; HAProxy следует тому же правилу. Все имена заголовков отправляются клиентам и серверам в нижнем регистре независимо от версии HTTP.
Для приложений, которые неправильно обрабатывают запросы или ответы, могут временно потребоваться такие обходные меры, меняющие регистр отправляемых им имён заголовков, пока приложение не будет исправлено. Обратите внимание: приложение, которому нужны такие обходные меры, может быть уязвимо к атакам с подменой границ содержимого и обязательно должно быть исправлено.
Пример:
```text
global
h1-case-adjust content-length Content-Length
```
См. "h1-case-adjust-file", "option h1-case-adjust-bogus-client" и "option h1-case-adjust-bogus-server".
`**
```haproxy
h1-case-adjust-file
```
Задаёт файл со списком пар ключ/значение для изменения регистра некоторых имён заголовков перед отправкой клиентам или серверам HTTP/1. В файле `` каждая строка должна содержать 2 имени заголовка. Первое должно быть в нижнем регистре, а оба имени должны различаться только регистром. Строки, начинающиеся с '#', игнорируются, как и пустые строки. Начальные и конечные табуляции и пробелы удаляются. Дубликаты запрещены. Обратите внимание: преобразование не применяется, пока для прокси не задано "option h1-case-adjust-bogus-client" или "option h1-case-adjust-bogus-server".
Если директива повторяется, обрабатывается только последняя. Она служит альтернативой "h1-case-adjust", когда нужно изменить регистр многих имён заголовков. Прочитайте описание рисков, связанных с её использованием.
См. "h1-case-adjust", "option h1-case-adjust-bogus-client" и "option h1-case-adjust-bogus-server".
`**
```haproxy
hard-stop-after
```
Задаёт максимальное время, отведённое на корректную плавную остановку.
Аргументы:
```text
— максимальное время (по умолчанию в миллисекундах), в течение
которого экземпляр продолжит работу после получения запроса
мягкой остановки через сигнал SIGUSR1.
```
Позволяет гарантировать завершение экземпляра, даже если во время плавной остановки остаются открытые соединения, например при больших тайм-аутах прокси в режиме tcp. Применяется в режимах TCP и HTTP.
Пример:
```text
global
hard-stop-after 30s
```
См. также: grace
[,...] [...]`**
```haproxy
http-err-codes [+-][,...] [...]
```
Заменяет, сокращает или расширяет список кодов состояния, считающихся ошибкой для кодов завершения и счётчика "http_err_cnt" в таблицах привязок. По умолчанию ошибками считаются коды от 400 до 499. Однако некоторые пользователи предпочитают исключать отдельные коды в определённых условиях, особенно при учёте ошибок клиентов, например 404 в системах с динамически создаваемым содержимым. См. также "http-fail-codes" и "http_err_cnt".
Диапазон без '+' или '-' заменяет существующий диапазон новым. Диапазон с начальным '+' добавляется к существующему независимо от того, пересекаются они или нет. Диапазон с начальным '-' удаляется из существующего. Диапазон задаётся числом от 100 до 599, после которого можно указать "-" и ещё одно число, не меньше первого, как верхнюю границу. Для одной операции добавления, удаления или замены можно указать несколько диапазонов через запятую.
Пример:
```text
http-err-codes 400,402-444,446-480,490 # sets exactly these codes
http-err-codes 400-499 -450 +500 # sets 400 to 500 except 450
http-err-codes -450-459 # removes 450 to 459 from range
http-err-codes +501,505 # adds 501 and 505 to range
```
[,...] [...]`**
```haproxy
http-fail-codes [+-][,...] [...]
```
Заменяет, сокращает или расширяет список кодов состояния, считающихся сбоем для кодов завершения и счётчика "http_fail_cnt" в таблицах привязок. По умолчанию это коды от 500 до 599, кроме 501 и 505, которые могут быть вызваны клиентами. Обычно коды сбоев указывают на неспособность сервера обработать запрос. Некоторые пользователи предпочитают исключать коды в тех условиях, где известно, что они не относятся к сбоям, например 500 в некоторых средах SOAP, где этот код не означает ошибку сервера. Синтаксис точно такой же, как у описанного выше http-err-codes. См. также "http-err-codes" и "http_fail_cnt".
`**
```haproxy
issuers-chain-path
```
Задаёт каталог для загрузки цепочек сертификатов, используемых при достраивании цепочки издателя. Все файлы должны быть в формате PEM. Если для сертификата, загруженного через "crt" или "crt-list", цепочка сертификатов не включена в PEM, HAProxy достроит её, когда издатель сертификата соответствует первому сертификату цепочки, загруженной через "issuers-chain-path". Такие сертификаты цепочки также обычно называют промежуточными. Файл "crt" с PrivateKey+Certificate+IntermediateCA2+IntermediateCA1 можно заменить файлом с PrivateKey+Certificate. HAProxy достроит цепочку, если в каталоге "issuers-chain-path" есть файл с IntermediateCA2+IntermediateCA1. Все остальные сертификаты с тем же издателем будут совместно использовать эту цепочку в памяти.
Возможности OCSP могут использовать достроенную цепочку, если .issuer не использовался или цепочка не была предоставлена в PEM.
`**
```haproxy
jwt.decrypt_alg_list
```
Задаёт список алгоритмов, разрешённых в преобразователях jwt_decrypt_XXX. Токены JWT с неподдерживаемыми или отключёнными алгоритмами никогда не расшифровываются. Алгоритмы должны быть указаны в формате из [раздела 4.1](https://www.rfc-editor.org/rfc/rfc7518#section-4.1) RFC7518 и разделены двоеточиями. Специальное имя "ALL" включает все поддерживаемые алгоритмы; полный список см. в описании преобразователя "jwt_decrypt_jwk". К имени алгоритма можно добавить '!', чтобы явно отключить его. Обратите внимание: если "ALL" не указан, этот параметр отключает все алгоритмы, которые не перечислены явно.
Примеры:
```shell
# Enable all algorithms but the "ECDH-ES" one
jwt.decrypt_alg_list ALL:!ECDH-ES
# Only enable ECDH-ES algorithms
jwt.decrypt_alg_list ECDH-ES:ECDH-ES+A128KW:ECDH-ES+A192KW:ECDH-ES+A256KW
```
`**
```haproxy
jwt.decrypt_enc_list
```
Задаёт список алгоритмов шифрования, разрешённых в преобразователях jwt_decrypt_XXX. Токены JWT с неподдерживаемыми или отключёнными алгоритмами шифрования никогда не расшифровываются. Алгоритмы должны быть указаны в формате из [раздела 5.1](https://www.rfc-editor.org/rfc/rfc7518#section-5.1) RFC7518 и разделены двоеточиями. Специальное имя "ALL" включает все поддерживаемые алгоритмы; полный список см. в описании преобразователя "jwt_decrypt_jwk". К имени алгоритма можно добавить '!', чтобы явно отключить его. Обратите внимание: если "ALL" не указан, этот параметр отключает все алгоритмы, которые не перечислены явно.
Примеры:
```shell
# Enable only AES GCM encrypting algorithms
jwt.decrypt_enc_list A128GCM:A192GCM:A256GCM
```
`**
```haproxy
key-base
```
Задаёт каталог по умолчанию для загрузки закрытых ключей SSL, когда в директивах "key" используется относительный путь. Заданные абсолютные пути имеют приоритет; "key-base" в этом случае игнорируется. Этот параметр работает только со строкой load в crt-store.
`**
```haproxy
localpeer
```
Задаёт имя локального экземпляра среди узлов peers. Оно игнорируется, если указан аргумент командной строки "-L" или директива использована после определений секций "peers". В таких случаях при разборе конфигурации выводится предупреждение.
Этот параметр также задаёт переменную окружения HAPROXY_LOCALPEER. См. также "-L" в руководстве по управлению и секцию "peers" ниже.
[len ] [format ] [sample :]`**
```haproxy
log [len ] [format ] [sample :]
[profile ] [max level [min level]]
```
Добавляет глобальный сервер syslog. Можно задать несколько таких серверов. Они получают записи о запуске и завершении, а также все журналы прокси, настроенных с "log global". Подробности см. в описании параметра "log" для прокси.
]`**
```haproxy
log-send-hostname []
```
Задаёт поле имени хоста в заголовке syslog. Если указан необязательный параметр "string", полю присваивается содержимое этой строки; иначе используется имя хоста системы. Обычно это нужно, если журналы не пересылаются через промежуточный сервер syslog, либо для изменения имени хоста, выводимого в журнале.
`**
```haproxy
log-tag
```
Задаёт этой строкой поле тега в заголовке syslog. По умолчанию используется имя программы при запуске из командной строки, обычно "haproxy". Иногда это полезно для различения нескольких процессов на одном хосте. См. также директиву "log-tag" для отдельных прокси.
[ [ [ ... ] ] ]`**
```haproxy
lua-load [ [ [ ... ] ] ]
```
Эта глобальная директива загружает и выполняет файл Lua в общем контексте, видимом всем потокам. Любая переменная, заданная в таком контексте, видна из любого потока. Это самый простой и рекомендуемый способ загрузки программ Lua, но при большом числе вызовов Lua он плохо масштабируется: с глобальным состоянием одновременно может работать только один поток. Программа, загруженная таким способом, всегда видит 0 в переменной "core.thread". Директиву можно использовать несколько раз.
Аргументы args доступны в файле Lua через приведённый ниже код в теле файла. Не забывайте, что индексы массивов Lua начинаются с 1. Переменная "local", объявленная в файле, доступна во всём этом файле и недоступна в других файлах.
local args = table.pack(...)
[ [ [ ... ] ] ]`**
```haproxy
lua-load-per-thread [ [ [ ... ] ] ]
```
Эта глобальная директива загружает и выполняет файл Lua в каждом запущенном потоке. Глобальные переменные видимы только внутри потока, поэтому каждый поток может видеть своё значение. В программах, загруженных таким способом, настоятельно рекомендуется не использовать глобальные переменные. Для каждого потока загружается и инициализируется отдельная копия; всё выполняется последовательно, по возрастанию номеров потоков от 1 до nbthread. Если какие-то операции нужно выполнить только один раз, программе следует проверить переменную "core.thread", чтобы определить, какой поток инициализируется. Загруженные таким способом программы выполняются параллельно во всех потоках и хорошо масштабируются. Это рекомендуемый способ загрузки простых функций, регистрирующих методы извлечения образцов, преобразователи, действия или службы, когда точно известно, что программа не зависит от глобальных переменных. Для простоты директива доступна и при использовании одного потока, и даже при отключённой поддержке потоков; в последнем случае она эквивалентна lua-load. Директиву можно использовать несколько раз.
Об использовании args см. lua-load.
[]`**
```haproxy
lua-prepend-path []
```
Добавляет указанную строку с последующей точкой с запятой в начало переменной Lua package.``. `` должен быть "path" или "cpath". Если `` не задан, по умолчанию используется "path".
Пути Lua — списки шаблонов, разделённых точкой с запятой. Они определяют, как функция `require` пытается найти исходный файл библиотеки. Знаки вопроса (?) в шаблоне заменяются именем модуля. Путь проверяется слева направо, поэтому пути, добавленные в начало позже, проверяются раньше.
Например, если указать следующий путь:
```text
lua-prepend-path /usr/share/haproxy-lua/?/init.lua
lua-prepend-path /usr/share/haproxy-lua/?.lua
```
При вызове `require "example"` Lua сначала пытается загрузить /usr/share/haproxy-lua/example.lua как сценарий. Если его нет, проверяется /usr/share/haproxy-lua/example/init.lua, а если нет и этого файла — пути по умолчанию.
Подробности см. в документации Lua: .
`**
```haproxy
max-threads-per-group
```
Задаёт максимальное число потоков в группе. Если число групп потоков не зафиксировано директивой "thread-groups", haproxy создаёт столько групп, сколько нужно для запрошенного числа потоков. Минимальное значение — 1, максимальное — 64 в 64-битных системах или 32 в 32-битных. Меньшие значения снижают конкуренцию за общее состояние при атомарных операциях, но могут увеличить число сокетов, необходимых для всех слушателей и для хранения простаивающих соединений с бэкендами. Большие значения уменьшают эти затраты, но увеличивают использование CPU при конкуренции за ресурсы и снижают скорость установления соединений. Значение по умолчанию — 16: это лучший компромисс, выявленный экспериментально на разных системах, включая процессоры x86_64 нескольких производителей и большие системы Arm64, как на физическом оборудовании, так и под гипервизорами.
`**
```haproxy
mworker-max-reloads
```
В режиме master-worker этот параметр ограничивает число перезагрузок, которые может пережить рабочий процесс. Если после перезагрузки он не завершился и число пережитых перезагрузок превысило указанное значение, процесс получает SIGTERM. Это помогает контролировать число рабочих процессов. См. также "show proc" в руководстве по управлению.
По умолчанию это значение равно 50.
`**
```haproxy
nbthread
```
Этот параметр доступен только при сборке с поддержкой потоков. Он запускает HAProxy с `` потоками. "nbthread" работает и при запуске HAProxy на переднем плане. На некоторых платформах с поддержкой привязки к CPU значение "nbthread" по умолчанию автоматически принимается равным числу CPU, к которым процесс привязан при запуске. Поэтому число потоков можно легко регулировать из вызывающего процесса командами вроде "taskset" или "cpuset". В остальных случаях по умолчанию используется 1. Значение по умолчанию показывается в выводе "haproxy -vv". Обратите внимание: заданные здесь или автоматически определённые значения ограничиваются параметром "thread-hard-limit", если он задан.
[:port]`**
```haproxy
ocsp-update.httpproxy [:port]
```
Разрешает использовать прокси HTTP для обновлений OCSP. Работает только с HTTP; HTTPS не поддерживается. Этот параметр позволяет средству обновления OCSP отправлять абсолютный URI в запросе к прокси.
`**
```haproxy
ocsp-update.maxdelay
tune.ssl.ocsp-update.maxdelay (deprecated)
```
Задаёт максимальный интервал между двумя автоматическими обновлениями одного ответа OCSP. Время задаётся в секундах; по умолчанию — 3600 (1 час). Значение должно быть больше "ocsp-update.mindelay". Подробности о механизме автоматического обновления см. в описании параметра "ocsp-update".
`**
```haproxy
ocsp-update.mindelay
tune.ssl.ocsp-update.mindelay (deprecated)
```
Задаёт минимальный интервал между двумя автоматическими обновлениями одного ответа OCSP. Время задаётся в секундах; по умолчанию — 300 (5 минут). Особенно полезно для ответов OCSP без явно заданного срока действия. Значение должно быть меньше "ocsp-update.maxdelay". Подробности о механизме автоматического обновления см. в описании параметра "ocsp-update".
`**
```haproxy
pidfile
```
Записывает идентификаторы всех демонов в файл `` в режиме демона либо PID главного процесса в файл `` в режиме master-worker. Эквивалентен аргументу командной строки "-p". Файл должен быть доступен пользователю, запускающему процесс. См. также "daemon" и "master-worker".
`**
```haproxy
presetenv
```
Задаёт переменной окружения `` значение ``. Если переменная уже существует, она не перезаписывается. Изменения вступают в силу немедленно: следующая строка конфигурационного файла уже видит новое значение. См. также "setenv", "resetenv" и "unsetenv".
...]`**
```haproxy
resetenv [ ...]
```
Удаляет все переменные окружения, кроме указанных в аргументе. Позволяет получить чистое управляемое окружение перед установкой новых значений через setenv или unsetenv. Обратите внимание: некоторые внутренние функции могут использовать переменные окружения, например функции работы со временем, а также OpenSSL и внешние проверки. Применять этот параметр необходимо крайне осторожно и только после полной проверки. Изменения вступают в силу немедленно: следующая строка конфигурационного файла уже видит новое окружение. См. также "setenv", "presetenv" и "unsetenv".
`**
```haproxy
server-state-base
```
Задаёт префикс каталога, добавляемый перед именами всех файлов состояния серверов, которые не начинаются с '/'. См. также "server-state-file", "load-server-state-from-file" и "server-state-file-name".
`**
```haproxy
server-state-file
```
Задаёт путь к файлу состояния серверов. Если путь начинается с косой черты ('/'), он считается абсолютным; иначе — относительным к каталогу "server-state-base", если он задан, либо к текущему каталогу. Перед перезагрузкой HAProxy текущее состояние серверов можно сохранить командой статистики "show servers state". Вывод этой команды должен быть записан в файл ``. При запуске, до начала обработки трафика, HAProxy прочитает, загрузит и применит состояние каждого сервера, который найден в файле и присутствует в текущей рабочей конфигурации. См. также "server-state-base", "show servers state", "load-server-state-from-file" и "server-state-file-name"
`**
```haproxy
set-var
```
Задаёт переменной уровня процесса '``' результат вычисления выражения образца ``. Переменная '``' может быть только переменной уровня процесса (с префиксом 'proc.'). Работает точно так же, как действие 'set-var' в правилах TCP или HTTP, но выражение вычисляется при разборе конфигурации и переменная задаётся немедленно. В выражении разрешены только функции извлечения образцов и преобразователи, использующие внутренние данные, обычно 'int(value)' или 'str(value)'. Можно также ссылаться на ранее выделенные переменные. Затем эти переменные будут доступны для чтения и изменения из обычных наборов правил.
Пример:
```text
global
set-var proc.current_state str(primary)
set-var proc.prio int(100)
set-var proc.threshold int(200),sub(proc.prio)
```
`**
```haproxy
set-var-fmt
```
Задаёт переменной уровня процесса '``' строку, полученную при вычислении формата журнала ``. Переменная '``' может быть только переменной уровня процесса (с префиксом 'proc.'). Работает точно так же, как действие 'set-var-fmt' в правилах TCP или HTTP, но выражение вычисляется при разборе конфигурации и переменная задаётся немедленно. В выражении разрешены только функции извлечения образцов и преобразователи, использующие внутренние данные, обычно 'int(value)' или 'str(value)'. Можно также ссылаться на ранее выделенные переменные. Затем эти переменные будут доступны для чтения и изменения из обычных наборов правил. Подробности о синтаксисе пользовательского формата журнала см. в [разделе 8.2.6](/ru/docs/haproxy/configuration-logging/#section-8-2-6).
Пример:
```text
global
set-var-fmt proc.current_state "primary"
set-var-fmt proc.bootid "%pid|%t"
```
[,...]`**
```haproxy
setcap [,...]
```
Задаёт список полномочий, которые должны сохраняться при запуске и работе от имени пользователя без прав root (uid \> 0) либо при запуске с uid 0 (root) и последующем переходе к пользователю без прав root. По умолчанию при смене uid теряются все права, но некоторые из них часто нужны при соединении с сервером с чужого адреса во время прозрачного проксирования либо при привязке к порту ниже 1024, например при использовании "tune.quic.fe.sock-per-conn default-on". В результате такие конфигурации целиком работают с uid 0. Назначение полномочий обычно безопаснее, поскольку сохраняются только необходимые полномочия. Эта возможность зависит от ОС и включена только в Linux, если при сборке задано USE_LINUX_CAP=1. Список поддерживаемых полномочий также зависит от ОС и перечисляется в сообщении об ошибке, выводимом при передаче неверного или пустого имени полномочия. Можно передать несколько полномочий, разделённых запятыми. Из часто используемых полномочий "cap_net_raw" разрешает прозрачную привязку к чужому адресу, а "cap_net_bind_service" разрешает привязку к привилегированному порту и может использоваться QUIC. Если процесс запускается и работает от имени одного и того же пользователя без прав root, необходимые полномочия следует задать исполняемому файлу haproxy с помощью setcap вместе с этим ключевым словом. Подробнее о назначении полномочий исполняемому файлу haproxy см. в главе 13.1 о поддержке полномочий Linux в руководстве по управлению.
Пример:
```text
global
setcap cap_net_bind_service,cap_net_admin
```
`**
```haproxy
setenv
```
Задаёт переменной окружения `` значение ``. Если переменная существует, она перезаписывается. Изменения вступают в силу немедленно: следующая строка конфигурационного файла уже видит новое значение. См. также "presetenv", "resetenv" и "unsetenv".
`**
```haproxy
shm-stats-file
```
Эта директива включает использование разделяемой памяти для хранения статистических счётчиков. `` передаётся как аргумент shm_open() для открытия разделяемой памяти в уникальном месте. Это также означает, что директива доступна только в системах с поддержкой shm_open(). При использовании SHM для статистики все счётчики фронтендов, бэкендов, слушателей и серверов, которые могут совместно использоваться, хранятся в SHM при условии, что для них задан GUID. При перезагрузке haproxy новый процесс пытается найти в SHM объекты, которые можно сопоставить с объектами конфигурации по GUID и типу, чтобы сохранить значения некоторых счётчиков при перезагрузке. При корректной остановке haproxy объекты SHM, напротив, освобождаются, то есть счётчики фактически сбрасываются. Для принудительного сброса можно также вручную удалить файл перед запуском нового процесса.
См. также "guid", "guid-prefix" и "shm-stats-file-max-objects"
`**
```haproxy
shm-stats-file-max-objects
```
Задаёт максимальное число объектов, которые разделяемая память для общих счётчиков может хранить для каждой группы потоков. Значение напрямую связано с максимальным размером разделяемой памяти и используется для предварительного отображения shm заданного размера, чтобы избежать повторного отображения во время работы. По умолчанию используется 2k, что должно подходить для большинства конфигураций без риска чрезмерного использования памяти; при необходимости значение легко изменить. При запуске haproxy выдаст ошибку, если значение слишком мало для регистрации объектов, которые должны храниться в разделяемой памяти. Параметр имеет значение только при заданном "shm-stats-file".
См. также "thread-groups"
`**
```haproxy
ssl-default-bind-ciphers
```
Этот параметр доступен только при сборке с поддержкой OpenSSL. Он задаёт строку по умолчанию со списком алгоритмов шифрования (наборов шифров), согласуемых при рукопожатии SSL/TLS вплоть до TLSv1.2, для всех строк "bind", где такой список не задан явно. Формат строки определён в "man 1 ciphers" из справочных страниц OpenSSL. Справочную информацию и рекомендации см., например, в () и (`**
```haproxy
ssl-default-bind-ciphersuites
```
Этот параметр доступен только при сборке с поддержкой OpenSSL и использовании OpenSSL 1.1.1 или новее для сборки HAProxy. Он задаёт строку по умолчанию со списком алгоритмов шифрования (наборов шифров), согласуемых при рукопожатии TLSv1.3, для всех строк "bind", где такой список не задан явно. Формат строки определён в разделе "ciphersuites" страницы "man 1 ciphers" из справочных страниц OpenSSL. Для настройки шифров TLSv1.2 и более ранних версий см. ключевое слово "ssl-default-bind-ciphers". Этот параметр может принимать наборы шифров TLSv1.2, однако такое поведение не документировано и не рекомендуется, поскольку оно может быть непоследовательным или ошибочным. Наборы шифров TLSv1.3 по умолчанию в OpenSSL:
"TLS_AES_256_GCM_SHA384:TLS_CHACHA20_POLY1305_SHA256:TLS_AES_128_GCM_SHA256"
TLSv1.3 поддерживает только 5 наборов шифров:
- TLS_AES_128_GCM_SHA256
- TLS_AES_256_GCM_SHA384
- TLS_CHACHA20_POLY1305_SHA256
- TLS_AES_128_CCM_SHA256
- TLS_AES_128_CCM_8_SHA256
Подробнее см. описание ключевого слова "bind".
Пример:
```text
global
ssl-default-bind-ciphers ECDHE-RSA-AES256-GCM-SHA384:ECDHE-RSA-CHACHA20-POLY1305:ECDHE-RSA-AES128-GCM-SHA256
ssl-default-bind-ciphersuites TLS_AES_256_GCM_SHA384:TLS_CHACHA20_POLY1305_SHA256:TLS_AES_128_GCM_SHA256
```
`**
```haproxy
ssl-default-bind-client-sigalgs
```
Этот параметр доступен только при сборке с поддержкой OpenSSL. Он задаёт строку по умолчанию со списком алгоритмов подписи для аутентификации клиента для всех строк "bind", где такой список не задан явно. Формат строки — список алгоритмов подписи, разделённых двоеточиями. Каждый алгоритм подписи можно записать в одной из двух форм: имя схемы подписи TLS1.3 ("rsa_pss_rsae_sha256") либо алгоритм открытого ключа + алгоритм хеширования ("ECDSA+SHA256"). Список может содержать обе формы. Подробнее о формате см. SSL_CTX_set1_client_sigalgs(3). Список алгоритмов подписи также приведён в разделе [4.2.3](https://www.rfc-editor.org/rfc/rfc8446#section-4.2.3) RFC8446 и в файле ssl/t1_lib.c в OpenSSL. Этот параметр неприменим к TLSv1.1 и более ранним версиям протокола, поскольку в них алгоритмы подписи отдельно не согласуются. Изменять этот параметр не рекомендуется, если не требуется совместимость с промежуточным сетевым устройством.
`**
```haproxy
ssl-default-bind-curves
```
Этот параметр доступен только при сборке с поддержкой OpenSSL. Он задаёт строку по умолчанию со списком алгоритмов эллиптических кривых (набором кривых), согласуемых при рукопожатии SSL/TLS с ECDHE. Формат строки — список имён кривых, разделённых двоеточиями. Подробнее см. описание ключевого слова "bind".
]...`**
```haproxy
ssl-default-bind-options [ ]...
```
Этот параметр доступен только при сборке с поддержкой OpenSSL. Он задаёт параметры ssl-options по умолчанию, принудительно применяемые ко всем строкам "bind". Доступные параметры см. в описании ключевого слова "bind".
Пример:
```text
global
ssl-default-bind-options ssl-min-ver TLSv1.0 no-tls-tickets
```
`**
```haproxy
ssl-default-bind-sigalgs
```
Этот параметр доступен только при сборке с поддержкой OpenSSL. Он задаёт строку по умолчанию со списком алгоритмов подписи, согласуемых при рукопожатии TLSv1.2 и TLSv1.3, для всех строк "bind", где такой список не задан явно. Формат строки — список алгоритмов подписи, разделённых двоеточиями. Каждый алгоритм подписи можно записать в одной из двух форм: имя схемы подписи TLS1.3 ("rsa_pss_rsae_sha256") либо алгоритм открытого ключа + алгоритм хеширования ("ECDSA+SHA256"). Список может содержать обе формы. Подробнее о формате см. SSL_CTX_set1_sigalgs(3). Список алгоритмов подписи также приведён в разделе [4.2.3](https://www.rfc-editor.org/rfc/rfc8446#section-4.2.3) RFC8446 и в файле ssl/t1_lib.c в OpenSSL. Этот параметр неприменим к TLSv1.1 и более ранним версиям протокола, поскольку в них алгоритмы подписи отдельно не согласуются. Изменять этот параметр не рекомендуется, если не требуется совместимость с промежуточным сетевым устройством.
`**
```haproxy
ssl-default-server-ciphers
```
Этот параметр доступен только при сборке с поддержкой OpenSSL. Он задаёт строку по умолчанию со списком алгоритмов шифрования, согласуемых при рукопожатии SSL/TLS с сервером вплоть до TLSv1.2, для всех строк "server", где такой список не задан явно. Формат строки определён в "man 1 ciphers" из справочных страниц OpenSSL. Справочную информацию и рекомендации см., например, в () и (`**
```haproxy
ssl-default-server-ciphersuites
```
Этот параметр доступен только при сборке с поддержкой OpenSSL и использовании OpenSSL 1.1.1 или новее для сборки HAProxy. Он задаёт строку по умолчанию со списком алгоритмов шифрования, согласуемых при рукопожатии TLSv1.3 с сервером, для всех строк "server", где такой список не задан явно. Формат строки определён в разделе "ciphersuites" страницы "man 1 ciphers" из справочных страниц OpenSSL. Для настройки шифров TLSv1.2 и более ранних версий см. ключевое слово "ssl-default-server-ciphers". Подробнее см. описание ключевого слова "server".
`**
```haproxy
ssl-default-server-client-sigalgs
```
Этот параметр доступен только при сборке с поддержкой OpenSSL. Он задаёт строку по умолчанию со списком алгоритмов подписи для аутентификации клиента для всех строк "server", где такой список не задан явно. Формат строки — список алгоритмов подписи, разделённых двоеточиями. Каждый алгоритм подписи можно записать в одной из двух форм: имя схемы подписи TLS1.3 ("rsa_pss_rsae_sha256") либо алгоритм открытого ключа + алгоритм хеширования ("ECDSA+SHA256"). Список может содержать обе формы. Подробнее о формате см. SSL_CTX_set1_client_sigalgs(3). Список алгоритмов подписи также приведён в разделе [4.2.3](https://www.rfc-editor.org/rfc/rfc8446#section-4.2.3) RFC8446 и в файле ssl/t1_lib.c в OpenSSL. Этот параметр неприменим к TLSv1.1 и более ранним версиям протокола, поскольку в них алгоритмы подписи отдельно не согласуются. Изменять этот параметр не рекомендуется, если не требуется совместимость с промежуточным сетевым устройством.
`**
```haproxy
ssl-default-server-curves
```
Этот параметр доступен только при сборке с поддержкой OpenSSL. Он задаёт строку по умолчанию со списком алгоритмов эллиптических кривых (набором кривых), согласуемых при рукопожатии SSL/TLS с ECDHE. Формат строки — список имён кривых, разделённых двоеточиями. Подробнее см. описание ключевого слова "server".
]...`**
```haproxy
ssl-default-server-options [ ]...
```
Этот параметр доступен только при сборке с поддержкой OpenSSL. Он задаёт параметры ssl-options по умолчанию, принудительно применяемые ко всем строкам "server". Доступные параметры см. в описании ключевого слова "server".
`**
```haproxy
ssl-default-server-sigalgs
```
Этот параметр доступен только при сборке с поддержкой OpenSSL. Он задаёт строку по умолчанию со списком алгоритмов подписи, согласуемых при рукопожатии TLSv1.2 и TLSv1.3, для всех строк "server", где такой список не задан явно. Формат строки — список алгоритмов подписи, разделённых двоеточиями. Каждый алгоритм подписи можно записать в одной из двух форм: имя схемы подписи TLS1.3 ("rsa_pss_rsae_sha256") либо алгоритм открытого ключа + алгоритм хеширования ("ECDSA+SHA256"). Список может содержать обе формы. Подробнее о формате см. SSL_CTX_set1_sigalgs(3). Список алгоритмов подписи также приведён в разделе [4.2.3](https://www.rfc-editor.org/rfc/rfc8446#section-4.2.3) RFC8446 и в файле ssl/t1_lib.c в OpenSSL. Этот параметр неприменим к TLSv1.1 и более ранним версиям протокола, поскольку в них алгоритмы подписи отдельно не согласуются. Изменять этот параметр не рекомендуется, если не требуется совместимость с промежуточным сетевым устройством.
`**
```haproxy
ssl-dh-param-file
```
Этот параметр доступен только при сборке с поддержкой OpenSSL. Он задаёт параметры DH по умолчанию, используемые при рукопожатии SSL/TLS с обменом ключами на основе эфемерного алгоритма Диффи — Хеллмана (DHE), для всех строк "bind", где они не заданы явно. Их переопределяют пользовательские параметры DH из файла сертификата bind, если они там есть. Если пользовательские параметры DH не заданы ни с помощью ssl-dh-param-file, ни непосредственно в файле сертификата, шифры DHE не используются, если не задан tune.ssl.default-dh-param. В последнем случае используются предопределённые параметры DH указанного размера. Пользовательские параметры считаются более безопасными, поэтому рекомендуется использовать их. Пользовательские параметры DH можно создать командой OpenSSL "openssl dhparam ``", где размер следует выбирать не менее 2048, поскольку 1024-битные параметры DH больше не следует считать безопасными.
...`**
```haproxy
ssl-passphrase-cmd ...
```
Этот параметр доступен только при сборке с поддержкой OpenSSL. Он позволяет задать полную командную строку, вызываемую при загрузке зашифрованного сертификата во время инициализации. Команда может быть сценарием или любой другой программой. Первым параметром ей передаётся путь к зашифрованному закрытому ключу, затем заданные пользователем параметры "args"; ей следует вывести в стандартный вывод парольную фразу, позволяющую расшифровать закрытый ключ. Для каждого нового зашифрованного закрытого ключа, загружаемого при инициализации, HAProxy сначала пробует расшифровать его всеми другими уже известными парольными фразами и снова вызывает команду получения парольной фразы, только если ни одна из них не подошла.
`**
```haproxy
ssl-propquery
```
Этот параметр доступен только при сборке с поддержкой OpenSSL версии не ниже 3.0. Он позволяет задать строку свойств по умолчанию, используемую при получении алгоритмов у провайдеров. Работает так же, как параметр openssl propquery, и использует тот же синтаксис (описан в ). Например, если загружены два провайдера, foo и default, запрос propquery "?provider=foo" позволяет по умолчанию выбирать реализации алгоритмов из провайдера foo и обращаться к реализации провайдера default, если нужная реализация не найдена.
`**
```haproxy
ssl-provider
```
Этот параметр доступен только при сборке с поддержкой OpenSSL версии не ниже 3.0. Он позволяет загрузить провайдер во время инициализации. При успешной загрузке HAProxy может использовать любые возможности, предоставляемые этим провайдером. В конфигурационном файле можно задать несколько параметров 'ssl-provider'. Провайдеры загружаются в порядке их появления.
Обратите внимание: явная загрузка провайдера не позволяет OpenSSL автоматически загрузить провайдер 'default'. OpenSSL также позволяет задать провайдеры, которые следует загрузить, непосредственно в своём конфигурационном файле (например, openssl.cnf), поэтому для их загрузки необязательно использовать параметр 'ssl-provider'. Команда CLI "show ssl providers" позволяет показать все успешно загруженные провайдеры.
Путь поиска провайдеров OpenSSL по умолчанию можно найти в выводе команды "openssl version -a". Если провайдер находится в другом каталоге, можно задать переменную окружения OPENSSL_MODULES, указав в ней каталог с провайдером.
См. также "ssl-propquery" и "ssl-provider-path".
`**
```haproxy
ssl-provider-path
```
Этот параметр доступен только при сборке с поддержкой OpenSSL версии не ниже 3.0. Он позволяет задать путь, по которому OpenSSL ищет провайдеры. Работает так же, как переменная окружения OPENSSL_MODULES. Используется для всех последующих параметров 'ssl-provider' до задания нового 'ssl-provider-path'. См. также "ssl-provider".
**`ssl-load-extra-del-ext`**
```haproxy
ssl-load-extra-del-ext
```
Этот параметр позволяет настроить способ поиска дополнительных файлов SSL в HAProxy. По умолчанию HAProxy добавляет новое расширение к имени файла (например, для "foobar.crt" загружает "foobar.crt.key"). При включённом параметре HAProxy удаляет расширение перед добавлением нового (например, для "foobar.crt" загружает "foobar.key").
Для работы этого параметра файл crt должен иметь расширение ".crt".
Этот параметр несовместим с расширениями пакетов сертификатов (.ecdsa, .rsa. .dsa) и не пытается удалять их.
По умолчанию этот параметр отключён. См. также "ssl-load-extra-files".
**`ssl-load-extra-files *`**
```haproxy
ssl-load-extra-files *
```
Этот параметр изменяет способ поиска файлов, не указанных явно, при загрузке сертификатов SSL в HAProxy. Он применяется к сертификатам строк "bind" и "server", однако некоторые дополнительные файлы не влияют на работу сертификатов строк "server".
По умолчанию HAProxy автоматически находит множество файлов, не указанных в конфигурации. Для сокращения времени запуска это поведение можно отключить.
"none": загружать только файлы, указанные в конфигурации. Не пытаться загружать пакет сертификатов, если файл отсутствует. При загрузке каталога не пытаться объединять сертификаты с одинаковым базовым именем в пакет.
"all": поведение по умолчанию; пытаться загрузить всё: пакеты сертификатов, sctl, ocsp, issuer, key.
"bundle": если файл, указанный в конфигурации, отсутствует, HAProxy пытается загрузить пакет сертификатов. Пакеты сертификатов поддерживаются только на стороне фронтенда и не работают для сертификатов бэкенда.
Начиная с HAProxy 2.3 пакеты больше не загружаются в одно хранилище сертификатов OpenSSL: каждый сертификат загружается в отдельное хранилище, что эквивалентно объявлению нескольких "crt". Для этого требуется OpenSSL 1.1.1. Следовательно, пакеты теперь используются только для обратной совместимости и больше не обязательны для гибридной конфигурации bind с RSA/ECC.
Чтобы объединить эти файлы PEM в пакет сертификатов, распознаваемый HAProxy, их нужно назвать следующим образом: все файлы PEM в пакете должны иметь одинаковое базовое имя и суффикс, обозначающий тип ключа. Сейчас поддерживаются три суффикса: rsa, dsa и ecdsa. Например, если у [www.example.com](http://www.example.com) есть два файла PEM, RSA и ECDSA, они должны называться "example.pem.rsa" и "example.pem.ecdsa". Первая часть имени файла произвольна; имеет значение только суффикс. Для загрузки этого пакета в HAProxy следует указать только базовое имя:
Пример: bind :8443 ssl crt example.pem
Обратите внимание: суффикс не передаётся HAProxy; это указывает HAProxy, что нужно искать пакет сертификатов.
HAProxy загружает все файлы PEM пакета так, будто каждый из них задан отдельно в нескольких "crt".
Загрузка пакетов больше не влияет на загрузку каталога, поскольку файлы загружаются отдельно.
В CLI пакеты представлены отдельными файлами, и для применения изменений в них требуется расширение пакета.
При объединении нескольких сертификатов в пакет поддерживаются файлы OCSP (.ocsp), файлы издателя (.issuer), Certificate Transparency (.sctl) и закрытые ключи (.key).
"sctl": пытаться загрузить "``.sctl" для каждого ключевого слова crt. Если файл указан для сертификата бэкенда, он загружается, но не влияет на работу.
"ocsp": пытаться загрузить "``.ocsp" для каждого ключевого слова crt. Если файл указан для сертификата бэкенда, он загружается, но не влияет на работу.
"issuer": пытаться загрузить "``.issuer", если издатель файла OCSP не указан в файле PEM. Если файл указан для сертификата бэкенда, он загружается, но не влияет на работу.
"key": если закрытый ключ отсутствует в файле PEM, пытаться загрузить файл "``.key", содержащий закрытый ключ.
Поведение по умолчанию — "all".
Пример:
```text
ssl-load-extra-files bundle sctl
ssl-load-extra-files sctl ocsp issuer
ssl-load-extra-files none
```
См. также: "crt", [раздел 5.1](/ru/docs/haproxy/bind-and-server-options/#section-5-1) о параметрах bind и [раздел 5.2](/ru/docs/haproxy/bind-and-server-options/#section-5-2) о параметрах server.
`**
```haproxy
ssl-security-level
```
Эта директива позволяет выбрать уровень безопасности OpenSSL, описанный в . Уровень безопасности применяется ко всем контекстам SSL в HAProxy. Поддерживаются только значения от 0 до 5.
Значение по умолчанию зависит от версии OpenSSL, дистрибутива и способа сборки библиотеки.
Для этой директивы требуется OpenSSL версии не ниже 1.1.1.
`**
```haproxy
stats maxconn
```
По умолчанию сокет статистики ограничен 10 одновременными соединениями. Изменить это значение можно с помощью "stats maxconn".