HAProxy中TCP请求连接跟踪规则在命名默认配置中的异常行为分析

问题背景

在HAProxy配置中，tcp-request connection规则用于在TCP连接建立阶段执行各种操作，如连接跟踪、ACL检查等。根据官方文档，这类规则应当可以在命名默认配置(named defaults)以及前端(frontend)、监听(listen)和后端(backend)等配置块中使用，同时支持HTTP和TCP两种模式。

问题现象

在实际使用中发现，当tcp-request connection track-sc0规则被放置在HTTP模式的命名默认配置中，并由前端配置继承时，该规则不会生效——相关的stick table保持为空状态。然而，同样的规则如果直接放置在前端配置中则能正常工作。值得注意的是，在TCP模式的前端配置中，从命名默认配置继承的规则也能正常工作。

技术分析

经过深入分析，发现问题出在HAProxy的会话处理逻辑中。具体来说：

1. 在session_accept_fd函数中，HAProxy会评估TCP第4层(L4)规则
2. 在conn_complete_session函数中，HAProxy会评估TCP第5层(L5)规则
3. 当前实现中，这些函数只在相应代理的规则列表不为空时才会被调用
4. 关键缺陷在于：代码没有检查默认代理(default proxy)中的规则列表

解决方案

核心修复思路是：在检查规则列表时，不仅要检查当前代理的规则列表，还要检查其继承的默认代理的规则列表。具体修改包括：

1. 对于L4规则检查，增加对fe->defpx->tcp_req.l4_rules的判断
2. 对于L5规则检查，增加对fe->defpx->tcp_req.l5_rules的判断

这种修改确保了从命名默认配置继承的TCP请求规则能够被正确评估和执行。

影响范围

该问题影响多个HAProxy版本，包括但不限于：

• 2.6.x系列
• 2.8.x系列
• 3.0.x系列

最佳实践建议

1. 对于需要从命名默认配置继承TCP请求规则的情况，建议升级到包含修复补丁的HAProxy版本
2. 在无法立即升级的环境中，可以将关键规则直接放置在前端配置中作为临时解决方案
3. 进行配置变更后，务必通过show table命令验证stick table是否按预期工作

总结

这个问题揭示了HAProxy在处理继承规则时的一个边界条件缺陷。通过修复补丁，确保了命名默认配置中的TCP请求规则能够被正确继承和执行，与文档描述的行为保持一致。这也提醒我们在使用复杂配置继承时，需要进行充分的测试验证。