Kubernetes中HAProxy配置peers同步粘性表方案咨询

以下方案都不需要fork官方helm chart，维护成本极低：

方案1：基于HAProxy原生DNS peer发现能力（零额外脚本，推荐优先使用） #

你当前使用的bitnami/haproxy 0.3.7版本默认搭载HAProxy 2.6，已支持peers段通过域名自动发现所有对等节点，完全不需要手动写死每个副本的IP：

1. 先为HAProxy创建一个Headless Service，标签选择器匹配HAProxy Pod，端口映射10000的peers端口，假设服务名为haproxy-peers
2. 将原有配置中的peers段替换为以下内容，复用你已经配置好的resolver做DNS解析：

peers hapeers
    peer local ${MY_POD_IP}:10000
    default-server init-addr libc,none resolvers default check inter 2s fall 2 rise 2
    server cluster haproxy-peers.<当前HAProxy所在命名空间>.svc.cluster.local:10000

配置生效后HAProxy会自动解析Headless Service返回的所有Pod IP，自动添加为对等节点，完成粘性表的跨副本同步，Pod扩缩容、重启后的IP变化会被resolver自动感知更新，不需要人工干预。

方案2：Service层固定客户端到HAProxy副本的路由（改造成本最低） #

如果不想配置peers同步，可以直接在HAProxy的Service层面开启源IP会话保持，让同一个客户端IP的请求始终转发到固定的HAProxy副本，从根源上避免跨副本粘性失效问题，只需要在values的service段添加以下配置即可：

service:
  # 原有type、ports配置保留
  sessionAffinity: ClientIP
  sessionAffinityConfig:
    clientIP:
      timeoutSeconds: 86400 # 和你粘性表的过期时间对齐即可

该方案的限制是HAProxy副本滚动重启时，绑定到该副本的客户端会被切到其他副本，出现一次粘性失效，如果你的业务可以接受发布重启时的少量会话漂移，这个方案是最省心的。

方案3：启动脚本动态生成peers配置（兼容旧版本HAProxy） #

如果你的HAProxy版本低于2.4不支持DNS发现peers，也不需要fork chart。Bitnami官方HAProxy镜像原生支持启动前自动执行/docker-entrypoint-initdb.d/目录下的所有脚本，你只需要：

1. 创建一个ConfigMap存放配置生成脚本，脚本逻辑为通过DNS查询HAProxy Headless Service的所有Pod IP，动态生成peers段配置替换原配置中的占位内容
2. 通过helm values的extraVolumes、extraVolumeMounts配置项，把脚本挂载到上述目录，赋予执行权限即可
   脚本不需要调用Kubernetes API，直接通过系统自带的getent或nslookup命令就能拿到所有副本IP，全程不需要修改只读的ConfigMap挂载内容——镜像启动时会先把配置加载到可写的工作目录，脚本修改的是工作目录中的运行时配置，不会触碰原ConfigMap的只读文件。
   参考脚本逻辑：

#!/bin/bash
RUN_CONF="/opt/bitnami/haproxy/conf/haproxy.cfg"
PEER_SVC="haproxy-peers.${POD_NAMESPACE}.svc.cluster.local"
# 清空原有peers段下的静态peer配置
sed -i '/^peers hapeers$/,/^[a-z]/{/peer/d}' $RUN_CONF
# 解析所有对等节点IP
ALL_PEER_IPS=$(getent hosts $PEER_SVC | awk '{print $1}')
# 写入新的peers列表
for ip in $ALL_PEER_IPS; do
    echo "  peer node-${ip//./-} ${ip}:10000" >> $RUN_CONF
done

记得给Pod配置POD_NAMESPACE环境变量，通过fieldRef读取Pod所在命名空间即可，不需要额外的集群权限。

不建议尝试修改ConfigMap挂载内容实现动态配置：Kubernetes中ConfigMap默认以只读方式挂载，强改需要修改挂载参数提升安全风险，且动态更新配置后还需要触发HAProxy重载，远不如上述方案稳定。

内容的提问来源于stack exchange，提问作者Jesus Vidal