# 01-08 OpenWrt HAProxy 负载均衡

> 在 OpenWrt 上安装并配置 HAProxy，将 80/443 流量转发到 K3s 集群节点（Traefik 入口），实现单一入口与负载均衡。

## 前置条件

- OpenWrt 与 K3s 节点同网段（如 192.168.2.0/24），OpenWrt 通常为网关（如 192.168.2.1）
- 已完成 `01-02-k3s-工作节点.md` 或 `01-07`，Traefik 入口 80/443 已在各节点可达

## 1. 安装 HAProxy

```bash
opkg update
opkg install haproxy
```

若使用 LuCI，可在「系统」→「软件包」中搜索 `haproxy` 安装。

## 2. 配置

### 2.1 原生 HAProxy 配置（推荐）

编辑 `/etc/haproxy.cfg` 或包提供的配置路径（部分 OpenWrt 使用 `/etc/haproxy/haproxy.cfg`）。可在 `/etc/init.d/haproxy` 中查看实际配置文件路径。

**完整配置见 `ansible/files/01-08-haproxy/haproxy.cfg`**（与 Ansible 共用，可复制到 OpenWrt 或通过 playbook 下发）。将 `192.168.2.61`～`192.168.2.64` 按实际 K3s 节点 IP 修改。健康检查默认为 **TCP**，如需升级见第 3 节；如需真实客户端 IP 见第 5 节 PROXY Protocol。

### 2.2 UCI 配置（可选）

部分 OpenWrt 使用 UCI 管理 HAProxy，编辑 `/etc/config/haproxy`。UCI 结构与选项因版本而异，可参考 [OpenWrt HAProxy 文档](https://openwrt.org/docs/guide-user/services/load_balancing/haproxy) 

## 3. 健康检查

分四类：**TCP**、**HTTP**、**TLS**、**HTTPS**，由浅到深。

| 类型 | 说明 | 适用端口 |
|------|------|----------|
| TCP | `server ... check`，端口能连即通过 | 80、443 等 |
| HTTP | `option httpchk`，明文 HTTP 请求 | 80 |
| TLS | `option ssl-hello-chk`，TLS 握手层 | 443（`mode tcp`） |
| HTTPS | `option httpchk` + `server ... ssl`，HTTP over TLS | 443（`mode http`） |

说明：443 业务若为 **TCP 透传**，backend 是 `mode tcp`，只能选 TCP 或 TLS；若需 HTTPS 级检查，需另建 `mode http` 的 backend。

### 3.1 TCP（2.1 默认）

即 `ansible/files/01-08-haproxy/haproxy.cfg` 中的 backend 块。

### 3.2 HTTP（80 明文）

替换 2.1 中 `backend k3s_http` 块；frontend `http_in` 仍指向 `k3s_http`。在 backend 开头加 `option httpchk GET /`。

### 3.3 TLS（443 握手，`mode tcp`）

替换 2.1 中 `backend k3s_https` 块；frontend `https_in` 仍指向 `k3s_https`。在 backend 中加 `option ssl-hello-chk`。

### 3.4 HTTPS（443 应用层，`mode http` + `ssl`）

适用于 **HAProxy 在 443 终结 TLS** 的场景（frontend 需 `mode http` 且 `bind` 时带 ssl）。若仍为 TCP 透传，用 3.3 即可。需与 Traefik 路由匹配的 `Host`；自签/内网 CA 可用 `verify none`，生产建议 `ca-file`。

```haproxy
backend k3s_https_httpchk
    mode http
    option httpchk GET / HTTP/1.1\r\nHost:\ your-ingress.example.com
    default-server ssl verify none
    server ylc61 192.168.2.61:443 check
    server ylc62 192.168.2.62:443 check
    server ylc63 192.168.2.63:443 check
    server ylc64 192.168.2.64:443 check
```

## 4. 启动与验证

```bash
/etc/init.d/haproxy enable
/etc/init.d/haproxy restart
```

验证：从内网访问 `http://<OpenWrt-IP>/` 或 `http://<OpenWrt-IP>/demo-m1/`（02-05 矩阵），应能到达 Traefik 与后端。

## 5. PROXY Protocol（可选）

若 Traefik 需获取真实客户端 IP，可在 HAProxy 后端每个 `server` 行添加 `send-proxy-v2`，并在 Traefik 配置 `trustedIPs` 包含 OpenWrt 网段（见 `03-02-k3s-traefik-acme.md`）。

**完整配置见 `ansible/files/01-08-haproxy/haproxy-proxy.cfg`**（仅 TCP 检查 + PROXY）。

**健康检查与 PROXY 组合**：`ansible/files/01-08-haproxy/haproxy-proxy-http-tls.cfg` 为 HTTP 检查 + TLS 检查 + PROXY 的完整示例。

Traefik 端需启用 PROXY protocol 监听并信任 OpenWrt 的 IP，否则会报错。UCI 配置需参考 OpenWrt HAProxy 文档中的相应选项。

## 6. 端口与防火墙

**80/443 被封**：家庭网络若被运营商封禁 80/443，可改用 18080/18443 等非标准端口，供直接访问或配合 Cloudflare CDN 端口转发。将 frontend 的 `bind *:80`、`bind *:443` 改为 `bind *:18080`、`bind *:18443` 即可；Traefik 入口及后端保持不变。

**防火墙**：确保 OpenWrt 放行实际监听端口（80/443 或 18080/18443 等）入站，或将 HAProxy 监听接口加入相应 zone。

## 相关文档

- `01-02-k3s-工作节点.md`：Traefik 入口与 LB 基线
- `02-05-nginx-验证矩阵-一键部署.md`：验证矩阵（按入口 IP 访问）
- `03-02-k3s-traefik-acme.md`：PROXY protocol、trustedIPs