refactor: single kalinamall HAProxy config in docs with Gitea SNI/SSH
Made-with: Cursor
This commit is contained in:
PTah
@@ -0,0 +1,110 @@
|
||||
# HAProxy — периметровый reverse-proxy для kalinamall.ru
|
||||
# Режим: TCP + SNI на 443 (TLS end-to-end; на бэкендах — сертификаты GlobalSign wildcard *.kalinamall.ru,
|
||||
# в том числе на узле Gitea для git.kalinamall.ru).
|
||||
#
|
||||
# Добавлено к боевому периметру: SNI git.kalinamall.ru → 192.168.160.129:443;
|
||||
# Git по SSH: внешний порт 2222 → 192.168.160.129:2222 (порт SSH Gitea на хосте).
|
||||
#
|
||||
# Проверка синтаксиса: haproxy -c -f /etc/haproxy/haproxy.cfg
|
||||
# Установка: скопируйте в /etc/haproxy/haproxy.cfg (или подключите через include).
|
||||
#
|
||||
# stats: задайте свой пароль на сервере; значение ниже — заглушка для репозитория.
|
||||
|
||||
global
|
||||
log stdout format raw local0
|
||||
maxconn 50000
|
||||
# Раскомментируйте на Linux с syslog:
|
||||
# log /dev/log local0
|
||||
|
||||
defaults
|
||||
log global
|
||||
mode tcp
|
||||
option dontlognull
|
||||
option tcplog
|
||||
timeout connect 10s
|
||||
timeout client 3600s
|
||||
timeout server 3600s
|
||||
# Для ActiveSync / больших вложений Exchange при необходимости увеличьте client/server
|
||||
|
||||
# -----------------------------------------------------------------------------
|
||||
# HTTPS (443): маршрутизация по SNI → внутренние серверы с TLS на бэкендах
|
||||
# Клиенты: ext, autodiscover (Exchange) / rds / erp / git.kalinamall.ru (Gitea)
|
||||
# Пути URL (/owa, /ecp, /ews/, /mapi/ …) HAProxy не разбирает — они внутри TLS; достаточно SNI ext.kalinamall.ru
|
||||
# -----------------------------------------------------------------------------
|
||||
|
||||
frontend fe_https_sni
|
||||
bind *:443
|
||||
mode tcp
|
||||
tcp-request inspect-delay 5s
|
||||
tcp-request content accept if { req_ssl_hello_type 1 }
|
||||
|
||||
# SNI должен быть из списка (несколько acl с одним именем — логическое ИЛИ)
|
||||
acl sni_known req_ssl_sni -i ext.kalinamall.ru
|
||||
acl sni_known req_ssl_sni -i autodiscover.kalinamall.ru
|
||||
acl sni_known req_ssl_sni -i rds.kalinamall.ru
|
||||
acl sni_known req_ssl_sni -i erp.kalinamall.ru
|
||||
acl sni_known req_ssl_sni -i git.kalinamall.ru
|
||||
# tcp-request обрабатываются до use_backend — reject ставим ДО use_backend, иначе предупреждение парсера
|
||||
tcp-request content reject if !sni_known
|
||||
|
||||
# OWA: https://ext.kalinamall.ru/owa — тот же поток, отдельное правило не требуется
|
||||
use_backend be_exchange if { req_ssl_sni -i ext.kalinamall.ru }
|
||||
use_backend be_exchange if { req_ssl_sni -i autodiscover.kalinamall.ru }
|
||||
use_backend be_rds if { req_ssl_sni -i rds.kalinamall.ru }
|
||||
use_backend be_erp if { req_ssl_sni -i erp.kalinamall.ru }
|
||||
use_backend be_gitea if { req_ssl_sni -i git.kalinamall.ru }
|
||||
|
||||
backend be_exchange
|
||||
# fifth.kalinamall.ru (192.168.160.42) — внешние имена HTTPS: ext.kalinamall.ru, autodiscover.kalinamall.ru
|
||||
server exch 192.168.160.42:443 check ssl verify none
|
||||
|
||||
backend be_rds
|
||||
# k6a-dc3.b26.kalinamall.ru (192.168.160.40) — RDS слушает TLS на 4430; снаружи клиенты идут на rds.kalinamall.ru:443
|
||||
server rds 192.168.160.40:4430 check ssl verify none
|
||||
|
||||
backend be_erp
|
||||
# hp-serv.b26.kalinamall.ru (192.168.160.150)
|
||||
server erp 192.168.160.150:443 check ssl verify none
|
||||
|
||||
backend be_gitea
|
||||
# Gitea должен принимать HTTPS на :443 на этом IP (сертификат *.kalinamall.ru на узле Gitea или перед ним).
|
||||
# Если Gitea пока только HTTP :3000 — опубликуйте TLS на 443 отдельно или смените порт бэкенда и режим публикации.
|
||||
server gitea 192.168.160.129:443 check ssl verify none
|
||||
|
||||
# -----------------------------------------------------------------------------
|
||||
# SMTP (25): почтовый шлюз KSMG
|
||||
# Внешнее имя: ksmg.kalinamall.ru
|
||||
# -----------------------------------------------------------------------------
|
||||
|
||||
frontend fe_smtp
|
||||
bind *:25
|
||||
default_backend be_ksmg_smtp
|
||||
|
||||
backend be_ksmg_smtp
|
||||
server ksmg 192.168.160.57:25 check
|
||||
|
||||
# -----------------------------------------------------------------------------
|
||||
# Git SSH: внешний 2222 → Gitea SSH на 192.168.160.129:2222
|
||||
# -----------------------------------------------------------------------------
|
||||
|
||||
frontend fe_git_ssh
|
||||
bind *:2222
|
||||
mode tcp
|
||||
option tcplog
|
||||
default_backend be_git_ssh
|
||||
|
||||
backend be_git_ssh
|
||||
mode tcp
|
||||
server gitea_ssh 192.168.160.129:2222 check inter 10s rise 2 fall 3
|
||||
|
||||
# -----------------------------------------------------------------------------
|
||||
# Опционально: статистика (задайте пароль на сервере)
|
||||
# -----------------------------------------------------------------------------
|
||||
|
||||
frontend fe_stats
|
||||
bind *:8404
|
||||
mode http
|
||||
stats enable
|
||||
stats uri /stats
|
||||
stats refresh 10s
|
||||
stats auth admin:CHANGEME_STATS_PASSWORD
|
||||
@@ -1,85 +0,0 @@
|
||||
# HAProxy и Gitea для kalinamall.ru
|
||||
|
||||
Здесь два связанных сценария:
|
||||
|
||||
1. **Периметровый HAProxy (продакшен kalinamall.ru)** — TCP на `:443`, маршрутизация по **SNI**, TLS до бэкендов (сертификаты на Exchange/RDS/ERP). Готовый снимок конфигурации: [`haproxy/haproxy-perimeter-kalinamall.cfg.example`](../haproxy/haproxy-perimeter-kalinamall.cfg.example). В нём **нет** `git.kalinamall.ru`: заняты SNI `ext`, `autodiscover`, `rds`, `erp`.
|
||||
2. **Gitea за HAProxy** — отдельный пример с **завершением TLS на прокси** (HTTP mode, PEM на HAProxy) или вынос Gitea на другой порт/узел — [`haproxy/haproxy-kalinamall.cfg.example`](../haproxy/haproxy-kalinamall.cfg.example).
|
||||
|
||||
Если нужен **один** внешний `:443` и для почты/ERP/RDS, и для Gitea с passthrough, на периметре добавляют SNI `git.kalinamall.ru` и backend в режиме TCP на `192.168.160.129:443` (если Gitea отдаёт HTTPS на 443) или проектируют публикацию Gitea на отдельном порту/хосте — см. таблицу ниже.
|
||||
|
||||
## Периметр: что в примере `haproxy-perimeter-kalinamall.cfg.example`
|
||||
|
||||
| SNI (клиент подключается к) | Backend (LAN) |
|
||||
|-----------------------------|-----------------|
|
||||
| `ext.kalinamall.ru`, `autodiscover.kalinamall.ru` | `192.168.160.42:443` (Exchange), TLS к бэкенду |
|
||||
| `rds.kalinamall.ru` | `192.168.160.40:4430` (RDS), TLS к бэкенду |
|
||||
| `erp.kalinamall.ru` | `192.168.160.150:443` (1С и т.п.), TLS к бэкенду |
|
||||
| SMTP `:25` | `192.168.160.57:25` (KSMG) |
|
||||
| Статистика `:8404` | HTTP stats; в файле в репозитории пароль **заглушка** — задайте свой на сервере и не храните секрет в Git. |
|
||||
|
||||
Неверный или неизвестный SNI на `:443` отбрасывается (`tcp-request content reject if !sni_known`).
|
||||
|
||||
## Имена и адреса (Gitea)
|
||||
|
||||
| Роль | Значение |
|
||||
|------|----------|
|
||||
| Публичный URL Gitea (браузер, `git remote` по HTTPS) | `https://git.kalinamall.ru` |
|
||||
| SSH для Git (`git push` / `clone` по SSH) | хост `git.kalinamall.ru`, порт **2222** (как на HAProxy в примере) |
|
||||
| Бэкенд Gitea в LAN | **`192.168.160.129`** — рекомендуется в `server` строках HAProxy для предсказуемости и отсутствия зависимости от DNS на самом прокси |
|
||||
| Альтернатива бэкенду | **`git.kalinamall.ru:3000`** и **`:2222`** — допустимо, если на узле HAProxy имя резолвится во внутренний IP сервера Gitea (Split DNS или запись в `/etc/hosts`) |
|
||||
|
||||
Пример конфигурации только для Gitea + ACME см. в репозитории:
|
||||
|
||||
- [`haproxy/haproxy-kalinamall.cfg.example`](../haproxy/haproxy-kalinamall.cfg.example)
|
||||
|
||||
Полный многосервисный образец (другие vhost, Zabbix, DSM и т.д.) — в [`haproxy/haproxy.cfg`](../haproxy/haproxy.cfg); нужные блоки можно перенести в свой боевой конфиг и подставить свои хосты и LAN IP.
|
||||
|
||||
## TLS-сертификат на HAProxy
|
||||
|
||||
- Файл PEM в примере: `/etc/haproxy/certs/kalinamall.pem` (цепочка + ключ).
|
||||
- В **SAN** сертификата должно быть имя **`git.kalinamall.ru`** (и любые другие имена, для которых этот же `bind` принимает HTTPS).
|
||||
|
||||
## Gitea: `ROOT_URL` и SSH
|
||||
|
||||
В `app.ini` на сервере Gitea (не на HAProxy):
|
||||
|
||||
- `ROOT_URL=https://git.kalinamall.ru/`
|
||||
- Для SSH обычно задают отображение для пользователей: домен `git.kalinamall.ru`, порт **2222** (совпадает с тем, что слушает HAProxy снаружи).
|
||||
|
||||
После смены домена перезапустите контейнер Gitea.
|
||||
|
||||
## DNS
|
||||
|
||||
- **Из интернета:** `git.kalinamall.ru` → публичный IP HAProxy (или NAT на него).
|
||||
- **Из LAN:** удобно настроить **Split DNS**: тот же FQDN указывает на внутренний IP HAProxy или напрямую на Gitea — тогда один и тот же URL в документации и в remotes.
|
||||
|
||||
Если Split DNS нет, изнутри сети можно пользоваться `https://192.168.160.129` только для проверки, но для постоянной работы лучше имя и корректный `ROOT_URL`.
|
||||
|
||||
## Проверка после выкладки конфига
|
||||
|
||||
На узле HAProxy:
|
||||
|
||||
```bash
|
||||
sudo haproxy -c -f /etc/haproxy/haproxy.cfg
|
||||
sudo systemctl reload haproxy
|
||||
```
|
||||
|
||||
Снаружи и из LAN (по необходимости):
|
||||
|
||||
```bash
|
||||
curl -fsS -o /dev/null -w "%{http_code}\n" https://git.kalinamall.ru/api/healthz
|
||||
ssh -T -p 2222 git@git.kalinamall.ru
|
||||
```
|
||||
|
||||
## Клиент SSH (`~/.ssh/config`)
|
||||
|
||||
Пример:
|
||||
|
||||
```sshconfig
|
||||
Host git-kalinamall
|
||||
HostName git.kalinamall.ru
|
||||
User git
|
||||
Port 2222
|
||||
IdentityFile ~/.ssh/id_ed25519
|
||||
IdentitiesOnly yes
|
||||
```
|
||||
Reference in New Issue
Block a user