From 25a9e5d97243080e40581e49a1be5882d8559a3a Mon Sep 17 00:00:00 2001 From: PTah Date: Wed, 22 Apr 2026 10:13:51 +1000 Subject: [PATCH] refactor: single kalinamall HAProxy config in docs with Gitea SNI/SSH Made-with: Cursor --- .github/workflows/haproxy-lint.yml | 16 +--- README.md | 6 +- .../haproxy-kalinamall.cfg | 38 ++++++-- docs/haproxy-kalinamall.md | 85 ----------------- haproxy/haproxy-kalinamall.cfg.example | 91 ------------------- 5 files changed, 37 insertions(+), 199 deletions(-) rename haproxy/haproxy-perimeter-kalinamall.cfg.example => docs/haproxy-kalinamall.cfg (64%) delete mode 100644 docs/haproxy-kalinamall.md delete mode 100644 haproxy/haproxy-kalinamall.cfg.example diff --git a/.github/workflows/haproxy-lint.yml b/.github/workflows/haproxy-lint.yml index 1d617f8..94a03e3 100644 --- a/.github/workflows/haproxy-lint.yml +++ b/.github/workflows/haproxy-lint.yml @@ -4,12 +4,14 @@ on: pull_request: paths: - "haproxy/**" + - "docs/haproxy-kalinamall.cfg" - ".github/workflows/haproxy-lint.yml" push: branches: - main paths: - "haproxy/**" + - "docs/haproxy-kalinamall.cfg" - ".github/workflows/haproxy-lint.yml" jobs: @@ -41,16 +43,6 @@ jobs: run: | sudo haproxy -c -f /etc/haproxy/haproxy.cfg - - name: Validate kalinamall HAProxy example + - name: Validate kalinamall perimeter + Gitea HAProxy example run: | - openssl req -x509 -nodes -newkey rsa:2048 \ - -keyout /tmp/kalinamall.key \ - -out /tmp/kalinamall.crt \ - -days 1 \ - -subj "/CN=git.kalinamall.ru" - cat /tmp/kalinamall.crt /tmp/kalinamall.key | sudo tee /etc/haproxy/certs/kalinamall.pem >/dev/null - sudo haproxy -c -f haproxy/haproxy-kalinamall.cfg.example - - - name: Validate kalinamall perimeter HAProxy example - run: | - sudo haproxy -c -f haproxy/haproxy-perimeter-kalinamall.cfg.example + sudo haproxy -c -f docs/haproxy-kalinamall.cfg diff --git a/README.md b/README.md index 50b31ef..fc3923a 100644 --- a/README.md +++ b/README.md @@ -10,8 +10,7 @@ ## Состав репозитория - `haproxy/haproxy.cfg` — полный конфиг HAProxy (с Gitea, Zabbix, Synology, RDP, SMTP). -- `haproxy/haproxy-kalinamall.cfg.example` — пример HAProxy только под Gitea для `git.kalinamall.ru` → LAN `192.168.160.129`. -- `haproxy/haproxy-perimeter-kalinamall.cfg.example` — периметровый HAProxy (TCP+SNI `:443`, Exchange/RDS/ERP, SMTP); снимок с боевого kalinamall.ru. +- `docs/haproxy-kalinamall.cfg` — периметровый HAProxy kalinamall.ru (TCP+SNI `:443`, Exchange/RDS/ERP/SMTP) **и** Gitea `git.kalinamall.ru` → `192.168.160.129:443`, SSH `:2222`. - `gitea/docker-compose.yml` — запуск Gitea в Docker. - `gitea/app.ini.example` — шаблон конфигурации Gitea. - `scripts/migrate-github-to-gitea.sh` — массовая миграция репозиториев GitHub в Gitea. @@ -27,7 +26,6 @@ - `Makefile` — быстрые команды установки/проверки/миграции. - `docs/troubleshooting.md` — типовые проблемы и диагностика. - `docs/security-hardening.md` — чеклист усиления безопасности (P0/P1/P2). -- `docs/haproxy-kalinamall.md` — HAProxy и DNS для развёртывания `git.kalinamall.ru` / `192.168.160.129`. - `.github/workflows/haproxy-lint.yml` — CI-проверка синтаксиса `haproxy.cfg`. - `.github/workflows/scripts-and-docs-check.yml` — `shellcheck` и проверка markdown-ссылок. - `systemd/` — unit/timer для ежедневных бэкапов через systemd. @@ -42,7 +40,7 @@ - Внутренний доступ к Gitea: `192.168.128.100:3000`. - Git SSH: внешний `:2222` на HAProxy -> внутренний `192.168.128.100:2222`. -Отдельный контур **kalinamall.ru**: публичное имя `git.kalinamall.ru`, бэкенд Gitea в LAN `192.168.160.129` — см. [`docs/haproxy-kalinamall.md`](docs/haproxy-kalinamall.md) и пример [`haproxy/haproxy-kalinamall.cfg.example`](haproxy/haproxy-kalinamall.cfg.example). +Отдельный контур **kalinamall.ru**: TLS на бэкендах (GlobalSign wildcard); HAProxy только маршрутизирует по SNI на `:443`. Конфиг с Gitea см. [`docs/haproxy-kalinamall.cfg`](docs/haproxy-kalinamall.cfg). На Gitea в `app.ini`: `ROOT_URL=https://git.kalinamall.ru/` и настройки SSH-домена/порта под внешний `:2222`. ## 1) Установка Gitea diff --git a/haproxy/haproxy-perimeter-kalinamall.cfg.example b/docs/haproxy-kalinamall.cfg similarity index 64% rename from haproxy/haproxy-perimeter-kalinamall.cfg.example rename to docs/haproxy-kalinamall.cfg index 997ef62..ff4e33c 100644 --- a/haproxy/haproxy-perimeter-kalinamall.cfg.example +++ b/docs/haproxy-kalinamall.cfg @@ -1,10 +1,14 @@ # HAProxy — периметровый reverse-proxy для kalinamall.ru -# Режим: TCP + SNI на 443 (TLS end-to-end, сертификаты GlobalSign wildcard на бэкендах) +# Режим: TCP + SNI на 443 (TLS end-to-end; на бэкендах — сертификаты GlobalSign wildcard *.kalinamall.ru, +# в том числе на узле Gitea для git.kalinamall.ru). +# +# Добавлено к боевому периметру: SNI git.kalinamall.ru → 192.168.160.129:443; +# Git по SSH: внешний порт 2222 → 192.168.160.129:2222 (порт SSH Gitea на хосте). # # Проверка синтаксиса: haproxy -c -f /etc/haproxy/haproxy.cfg -# Установка: скопируйте в /etc/haproxy/haproxy.cfg (или подключите через include) +# Установка: скопируйте в /etc/haproxy/haproxy.cfg (или подключите через include). # -# ВНИМАНИЕ: пароль stats ниже — заглушка; задайте свой и не коммитьте секреты в Git. +# stats: задайте свой пароль на сервере; значение ниже — заглушка для репозитория. global log stdout format raw local0 @@ -23,9 +27,8 @@ defaults # Для ActiveSync / больших вложений Exchange при необходимости увеличьте client/server # ----------------------------------------------------------------------------- -# HTTPS (443): маршрутизация по SNI → внутренние серверы с wildcard на 443 -# Клиенты: ext, autodiscover (Exchange) / rds / erp.kalinamall.ru -# Бэкенды: Exchange, RDS, 1С (см. README и docs/haproxy-kalinamall.md) +# HTTPS (443): маршрутизация по SNI → внутренние серверы с TLS на бэкендах +# Клиенты: ext, autodiscover (Exchange) / rds / erp / git.kalinamall.ru (Gitea) # Пути URL (/owa, /ecp, /ews/, /mapi/ …) HAProxy не разбирает — они внутри TLS; достаточно SNI ext.kalinamall.ru # ----------------------------------------------------------------------------- @@ -40,6 +43,7 @@ frontend fe_https_sni acl sni_known req_ssl_sni -i autodiscover.kalinamall.ru acl sni_known req_ssl_sni -i rds.kalinamall.ru acl sni_known req_ssl_sni -i erp.kalinamall.ru + acl sni_known req_ssl_sni -i git.kalinamall.ru # tcp-request обрабатываются до use_backend — reject ставим ДО use_backend, иначе предупреждение парсера tcp-request content reject if !sni_known @@ -48,6 +52,7 @@ frontend fe_https_sni use_backend be_exchange if { req_ssl_sni -i autodiscover.kalinamall.ru } use_backend be_rds if { req_ssl_sni -i rds.kalinamall.ru } use_backend be_erp if { req_ssl_sni -i erp.kalinamall.ru } + use_backend be_gitea if { req_ssl_sni -i git.kalinamall.ru } backend be_exchange # fifth.kalinamall.ru (192.168.160.42) — внешние имена HTTPS: ext.kalinamall.ru, autodiscover.kalinamall.ru @@ -61,6 +66,11 @@ backend be_erp # hp-serv.b26.kalinamall.ru (192.168.160.150) server erp 192.168.160.150:443 check ssl verify none +backend be_gitea + # Gitea должен принимать HTTPS на :443 на этом IP (сертификат *.kalinamall.ru на узле Gitea или перед ним). + # Если Gitea пока только HTTP :3000 — опубликуйте TLS на 443 отдельно или смените порт бэкенда и режим публикации. + server gitea 192.168.160.129:443 check ssl verify none + # ----------------------------------------------------------------------------- # SMTP (25): почтовый шлюз KSMG # Внешнее имя: ksmg.kalinamall.ru @@ -74,7 +84,21 @@ backend be_ksmg_smtp server ksmg 192.168.160.57:25 check # ----------------------------------------------------------------------------- -# Опционально: статистика (раскомментируйте и задайте пароль) +# Git SSH: внешний 2222 → Gitea SSH на 192.168.160.129:2222 +# ----------------------------------------------------------------------------- + +frontend fe_git_ssh + bind *:2222 + mode tcp + option tcplog + default_backend be_git_ssh + +backend be_git_ssh + mode tcp + server gitea_ssh 192.168.160.129:2222 check inter 10s rise 2 fall 3 + +# ----------------------------------------------------------------------------- +# Опционально: статистика (задайте пароль на сервере) # ----------------------------------------------------------------------------- frontend fe_stats diff --git a/docs/haproxy-kalinamall.md b/docs/haproxy-kalinamall.md deleted file mode 100644 index b04fa9f..0000000 --- a/docs/haproxy-kalinamall.md +++ /dev/null @@ -1,85 +0,0 @@ -# HAProxy и Gitea для kalinamall.ru - -Здесь два связанных сценария: - -1. **Периметровый HAProxy (продакшен kalinamall.ru)** — TCP на `:443`, маршрутизация по **SNI**, TLS до бэкендов (сертификаты на Exchange/RDS/ERP). Готовый снимок конфигурации: [`haproxy/haproxy-perimeter-kalinamall.cfg.example`](../haproxy/haproxy-perimeter-kalinamall.cfg.example). В нём **нет** `git.kalinamall.ru`: заняты SNI `ext`, `autodiscover`, `rds`, `erp`. -2. **Gitea за HAProxy** — отдельный пример с **завершением TLS на прокси** (HTTP mode, PEM на HAProxy) или вынос Gitea на другой порт/узел — [`haproxy/haproxy-kalinamall.cfg.example`](../haproxy/haproxy-kalinamall.cfg.example). - -Если нужен **один** внешний `:443` и для почты/ERP/RDS, и для Gitea с passthrough, на периметре добавляют SNI `git.kalinamall.ru` и backend в режиме TCP на `192.168.160.129:443` (если Gitea отдаёт HTTPS на 443) или проектируют публикацию Gitea на отдельном порту/хосте — см. таблицу ниже. - -## Периметр: что в примере `haproxy-perimeter-kalinamall.cfg.example` - -| SNI (клиент подключается к) | Backend (LAN) | -|-----------------------------|-----------------| -| `ext.kalinamall.ru`, `autodiscover.kalinamall.ru` | `192.168.160.42:443` (Exchange), TLS к бэкенду | -| `rds.kalinamall.ru` | `192.168.160.40:4430` (RDS), TLS к бэкенду | -| `erp.kalinamall.ru` | `192.168.160.150:443` (1С и т.п.), TLS к бэкенду | -| SMTP `:25` | `192.168.160.57:25` (KSMG) | -| Статистика `:8404` | HTTP stats; в файле в репозитории пароль **заглушка** — задайте свой на сервере и не храните секрет в Git. | - -Неверный или неизвестный SNI на `:443` отбрасывается (`tcp-request content reject if !sni_known`). - -## Имена и адреса (Gitea) - -| Роль | Значение | -|------|----------| -| Публичный URL Gitea (браузер, `git remote` по HTTPS) | `https://git.kalinamall.ru` | -| SSH для Git (`git push` / `clone` по SSH) | хост `git.kalinamall.ru`, порт **2222** (как на HAProxy в примере) | -| Бэкенд Gitea в LAN | **`192.168.160.129`** — рекомендуется в `server` строках HAProxy для предсказуемости и отсутствия зависимости от DNS на самом прокси | -| Альтернатива бэкенду | **`git.kalinamall.ru:3000`** и **`:2222`** — допустимо, если на узле HAProxy имя резолвится во внутренний IP сервера Gitea (Split DNS или запись в `/etc/hosts`) | - -Пример конфигурации только для Gitea + ACME см. в репозитории: - -- [`haproxy/haproxy-kalinamall.cfg.example`](../haproxy/haproxy-kalinamall.cfg.example) - -Полный многосервисный образец (другие vhost, Zabbix, DSM и т.д.) — в [`haproxy/haproxy.cfg`](../haproxy/haproxy.cfg); нужные блоки можно перенести в свой боевой конфиг и подставить свои хосты и LAN IP. - -## TLS-сертификат на HAProxy - -- Файл PEM в примере: `/etc/haproxy/certs/kalinamall.pem` (цепочка + ключ). -- В **SAN** сертификата должно быть имя **`git.kalinamall.ru`** (и любые другие имена, для которых этот же `bind` принимает HTTPS). - -## Gitea: `ROOT_URL` и SSH - -В `app.ini` на сервере Gitea (не на HAProxy): - -- `ROOT_URL=https://git.kalinamall.ru/` -- Для SSH обычно задают отображение для пользователей: домен `git.kalinamall.ru`, порт **2222** (совпадает с тем, что слушает HAProxy снаружи). - -После смены домена перезапустите контейнер Gitea. - -## DNS - -- **Из интернета:** `git.kalinamall.ru` → публичный IP HAProxy (или NAT на него). -- **Из LAN:** удобно настроить **Split DNS**: тот же FQDN указывает на внутренний IP HAProxy или напрямую на Gitea — тогда один и тот же URL в документации и в remotes. - -Если Split DNS нет, изнутри сети можно пользоваться `https://192.168.160.129` только для проверки, но для постоянной работы лучше имя и корректный `ROOT_URL`. - -## Проверка после выкладки конфига - -На узле HAProxy: - -```bash -sudo haproxy -c -f /etc/haproxy/haproxy.cfg -sudo systemctl reload haproxy -``` - -Снаружи и из LAN (по необходимости): - -```bash -curl -fsS -o /dev/null -w "%{http_code}\n" https://git.kalinamall.ru/api/healthz -ssh -T -p 2222 git@git.kalinamall.ru -``` - -## Клиент SSH (`~/.ssh/config`) - -Пример: - -```sshconfig -Host git-kalinamall - HostName git.kalinamall.ru - User git - Port 2222 - IdentityFile ~/.ssh/id_ed25519 - IdentitiesOnly yes -``` diff --git a/haproxy/haproxy-kalinamall.cfg.example b/haproxy/haproxy-kalinamall.cfg.example deleted file mode 100644 index 2857f6f..0000000 --- a/haproxy/haproxy-kalinamall.cfg.example +++ /dev/null @@ -1,91 +0,0 @@ -# HAProxy — пример для Kalina Mall / git.kalinamall.ru -# Версия синтаксиса: HAProxy 2.4+ -# -# TLS завершается на HAProxy. -# Публичное имя Gitea: git.kalinamall.ru -# Бэкенд Gitea в LAN: 192.168.160.129 (или то же имя git.kalinamall.ru, если Split DNS / запись указывает на LAN). -# -# Сертификат PEM на прокси: SAN должен включать git.kalinamall.ru (и при необходимости другие имена этого frontend). -# Пример пути: -# /etc/haproxy/certs/kalinamall.pem -# -# Остальные сервисы (Synology, Zabbix, RDP и т.д.) см. в референсе `haproxy/haproxy.cfg` — перенесите нужные frontend/backend -# и подставьте свои ACL и LAN IP. - -global - log stdout format raw local0 - maxconn 40000 - -defaults - mode http - log global - option httplog - option dontlognull - timeout connect 10s - timeout client 300s - timeout server 300s - timeout http-request 10s - -# --- HTTP (80): ACME + Gitea -frontend fe_http - bind *:80 - mode http - option forwardfor except 127.0.0.0/8 - - acl path_acme path_beg /.well-known/acme-challenge/ - acl host_git hdr(host) -i git.kalinamall.ru - - use_backend bk_acme if path_acme - use_backend bk_gitea if host_git - - default_backend bk_http_default - -# --- HTTPS (443): Gitea -frontend fe_https - bind *:443 ssl crt /etc/haproxy/certs/kalinamall.pem alpn http/1.1 - mode http - option forwardfor except 127.0.0.0/8 - - acl host_git hdr(host) -i git.kalinamall.ru - - use_backend bk_gitea if host_git - - default_backend bk_http_default - -# Заглушка для неизвестного Host -backend bk_http_default - mode http - http-request deny deny_status 404 - -# ACME webroot через локальный nginx (или другой сервис на 127.0.0.1:8080) -backend bk_acme - mode http - server nginx_acme 127.0.0.1:8080 - -# Gitea UI + Git over HTTP(S) -backend bk_gitea - mode http - option httpchk - http-check send meth GET uri /api/healthz ver HTTP/1.1 hdr Host git.kalinamall.ru - http-check expect status 200 - http-request set-header Host git.kalinamall.ru - http-request set-header X-Forwarded-Host %[req.hdr(Host)] - http-request set-header X-Forwarded-Proto https if { ssl_fc } - http-request set-header X-Forwarded-Proto http if !{ ssl_fc } - http-request set-header X-Forwarded-Port 443 if { ssl_fc } - http-request set-header X-Forwarded-Port 80 if !{ ssl_fc } - server gitea1 192.168.160.129:3000 check inter 10s rise 2 fall 3 - # Если на HAProxy git.kalinamall.ru резолвится во внутренний IP Gitea: - # server gitea1 git.kalinamall.ru:3000 check inter 10s rise 2 fall 3 - -# Git SSH: внешний :2222 -> Gitea SSH на хосте Gitea -frontend fe_git_ssh - bind *:2222 - mode tcp - option tcplog - default_backend bk_git_ssh - -backend bk_git_ssh - mode tcp - server gitea_ssh 192.168.160.129:2222 check inter 10s rise 2 fall 3 - # server gitea_ssh git.kalinamall.ru:2222 check inter 10s rise 2 fall 3