PapaTramp/owngit
1
0
Fork 0
Code Issues Pull Requests Actions Packages Projects Releases Wiki Activity

refactor: single kalinamall HAProxy config in docs with Gitea SNI/SSH

Browse Source 
Made-with: Cursor
This commit is contained in:
PTah
2026-04-22 10:13:51 +10:00
parent 9d8d37eaf6
commit 25a9e5d972
5 changed files with 37 additions and 199 deletions
Download Patch File Download Diff File Expand all files Collapse all files
.github/workflows/haproxy-lint.yml
+4 -12
View File
@@ -4,12 +4,14 @@ on:
pull_request:
paths:
- "haproxy/**"
- "docs/haproxy-kalinamall.cfg"
- ".github/workflows/haproxy-lint.yml"
push:
branches:
- main
paths:
- "haproxy/**"
- "docs/haproxy-kalinamall.cfg"
- ".github/workflows/haproxy-lint.yml"
jobs:
@@ -41,16 +43,6 @@ jobs:
run: |
sudo haproxy -c -f /etc/haproxy/haproxy.cfg
- name: Validate kalinamall HAProxy example
- name: Validate kalinamall perimeter + Gitea HAProxy example
run: |
openssl req -x509 -nodes -newkey rsa:2048 \
-keyout /tmp/kalinamall.key \
-out /tmp/kalinamall.crt \
-days 1 \
-subj "/CN=git.kalinamall.ru"
cat /tmp/kalinamall.crt /tmp/kalinamall.key | sudo tee /etc/haproxy/certs/kalinamall.pem >/dev/null
sudo haproxy -c -f haproxy/haproxy-kalinamall.cfg.example
- name: Validate kalinamall perimeter HAProxy example
run: |
sudo haproxy -c -f haproxy/haproxy-perimeter-kalinamall.cfg.example
sudo haproxy -c -f docs/haproxy-kalinamall.cfg
README.md
+2 -4
View File
@@ -10,8 +10,7 @@
## Состав репозитория
- `haproxy/haproxy.cfg` — полный конфиг HAProxy (с Gitea, Zabbix, Synology, RDP, SMTP).
- `haproxy/haproxy-kalinamall.cfg.example` — пример HAProxy только под Gitea для `git.kalinamall.ru` → LAN `192.168.160.129`.
- `haproxy/haproxy-perimeter-kalinamall.cfg.example` — периметровый HAProxy (TCP+SNI `:443`, Exchange/RDS/ERP, SMTP); снимок с боевого kalinamall.ru.
- `docs/haproxy-kalinamall.cfg` — периметровый HAProxy kalinamall.ru (TCP+SNI `:443`, Exchange/RDS/ERP/SMTP) **и** Gitea `git.kalinamall.ru` → `192.168.160.129:443`, SSH `:2222`.
- `gitea/docker-compose.yml` — запуск Gitea в Docker.
- `gitea/app.ini.example` — шаблон конфигурации Gitea.
- `scripts/migrate-github-to-gitea.sh` — массовая миграция репозиториев GitHub в Gitea.
@@ -27,7 +26,6 @@
- `Makefile` — быстрые команды установки/проверки/миграции.
- `docs/troubleshooting.md` — типовые проблемы и диагностика.
- `docs/security-hardening.md` — чеклист усиления безопасности (P0/P1/P2).
- `docs/haproxy-kalinamall.md` — HAProxy и DNS для развёртывания `git.kalinamall.ru` / `192.168.160.129`.
- `.github/workflows/haproxy-lint.yml` — CI-проверка синтаксиса `haproxy.cfg`.
- `.github/workflows/scripts-and-docs-check.yml` — `shellcheck` и проверка markdown-ссылок.
- `systemd/` — unit/timer для ежедневных бэкапов через systemd.
@@ -42,7 +40,7 @@
- Внутренний доступ к Gitea: `192.168.128.100:3000`.
- Git SSH: внешний `:2222` на HAProxy -> внутренний `192.168.128.100:2222`.
Отдельный контур **kalinamall.ru**: публичное имя `git.kalinamall.ru`, бэкенд Gitea в LAN `192.168.160.129` — см. [`docs/haproxy-kalinamall.md`](docs/haproxy-kalinamall.md) и пример [`haproxy/haproxy-kalinamall.cfg.example`](haproxy/haproxy-kalinamall.cfg.example).
Отдельный контур **kalinamall.ru**: TLS на бэкендах (GlobalSign wildcard); HAProxy только маршрутизирует по SNI на `:443`. Конфиг с Gitea см. [`docs/haproxy-kalinamall.cfg`](docs/haproxy-kalinamall.cfg). На Gitea в `app.ini`: `ROOT_URL=https://git.kalinamall.ru/` и настройки SSH-домена/порта под внешний `:2222`.
## 1) Установка Gitea
haproxy/haproxy-perimeter-kalinamall.cfg.example → docs/haproxy-kalinamall.cfg
+31 -7
View File
@@ -1,10 +1,14 @@
# HAProxy — периметровый reverse-proxy для kalinamall.ru
# Режим: TCP + SNI на 443 (TLS end-to-end, сертификаты GlobalSign wildcard на бэкендах)
# Режим: TCP + SNI на 443 (TLS end-to-end; на бэкендах — сертификаты GlobalSign wildcard *.kalinamall.ru,
# в том числе на узле Gitea для git.kalinamall.ru).
#
# Добавлено к боевому периметру: SNI git.kalinamall.ru → 192.168.160.129:443;
# Git по SSH: внешний порт 2222 → 192.168.160.129:2222 (порт SSH Gitea на хосте).
#
# Проверка синтаксиса: haproxy -c -f /etc/haproxy/haproxy.cfg
# Установка: скопируйте в /etc/haproxy/haproxy.cfg (или подключите через include)
# Установка: скопируйте в /etc/haproxy/haproxy.cfg (или подключите через include).
#
# ВНИМАНИЕ: пароль stats ниже — заглушка; задайте свой и не коммитьте секреты в Git.
# stats: задайте свой пароль на сервере; значение ниже — заглушка для репозитория.
global
log stdout format raw local0
@@ -23,9 +27,8 @@ defaults
# Для ActiveSync / больших вложений Exchange при необходимости увеличьте client/server
# -----------------------------------------------------------------------------
# HTTPS (443): маршрутизация по SNI → внутренние серверы с wildcard на 443
# Клиенты: ext, autodiscover (Exchange) / rds / erp.kalinamall.ru
# Бэкенды: Exchange, RDS, 1С (см. README и docs/haproxy-kalinamall.md)
# HTTPS (443): маршрутизация по SNI → внутренние серверы с TLS на бэкендах
# Клиенты: ext, autodiscover (Exchange) / rds / erp / git.kalinamall.ru (Gitea)
# Пути URL (/owa, /ecp, /ews/, /mapi/ …) HAProxy не разбирает — они внутри TLS; достаточно SNI ext.kalinamall.ru
# -----------------------------------------------------------------------------
@@ -40,6 +43,7 @@ frontend fe_https_sni
acl sni_known req_ssl_sni -i autodiscover.kalinamall.ru
acl sni_known req_ssl_sni -i rds.kalinamall.ru
acl sni_known req_ssl_sni -i erp.kalinamall.ru
acl sni_known req_ssl_sni -i git.kalinamall.ru
# tcp-request обрабатываются до use_backend — reject ставим ДО use_backend, иначе предупреждение парсера
tcp-request content reject if !sni_known
@@ -48,6 +52,7 @@ frontend fe_https_sni
use_backend be_exchange if { req_ssl_sni -i autodiscover.kalinamall.ru }
use_backend be_rds if { req_ssl_sni -i rds.kalinamall.ru }
use_backend be_erp if { req_ssl_sni -i erp.kalinamall.ru }
use_backend be_gitea if { req_ssl_sni -i git.kalinamall.ru }
backend be_exchange
# fifth.kalinamall.ru (192.168.160.42) — внешние имена HTTPS: ext.kalinamall.ru, autodiscover.kalinamall.ru
@@ -61,6 +66,11 @@ backend be_erp
# hp-serv.b26.kalinamall.ru (192.168.160.150)
server erp 192.168.160.150:443 check ssl verify none
backend be_gitea
# Gitea должен принимать HTTPS на :443 на этом IP (сертификат *.kalinamall.ru на узле Gitea или перед ним).
# Если Gitea пока только HTTP :3000 — опубликуйте TLS на 443 отдельно или смените порт бэкенда и режим публикации.
server gitea 192.168.160.129:443 check ssl verify none
# -----------------------------------------------------------------------------
# SMTP (25): почтовый шлюз KSMG
# Внешнее имя: ksmg.kalinamall.ru
@@ -74,7 +84,21 @@ backend be_ksmg_smtp
server ksmg 192.168.160.57:25 check
# -----------------------------------------------------------------------------
# Опционально: статистика (раскомментируйте и задайте пароль)
# Git SSH: внешний 2222 → Gitea SSH на 192.168.160.129:2222
# -----------------------------------------------------------------------------
frontend fe_git_ssh
bind *:2222
mode tcp
option tcplog
default_backend be_git_ssh
backend be_git_ssh
mode tcp
server gitea_ssh 192.168.160.129:2222 check inter 10s rise 2 fall 3
# -----------------------------------------------------------------------------
# Опционально: статистика (задайте пароль на сервере)
# -----------------------------------------------------------------------------
frontend fe_stats
docs/haproxy-kalinamall.md
-85
View File
@@ -1,85 +0,0 @@
# HAProxy и Gitea для kalinamall.ru
Здесь два связанных сценария:
1. **Периметровый HAProxy (продакшен kalinamall.ru)** — TCP на `:443`, маршрутизация по **SNI**, TLS до бэкендов (сертификаты на Exchange/RDS/ERP). Готовый снимок конфигурации: [`haproxy/haproxy-perimeter-kalinamall.cfg.example`](../haproxy/haproxy-perimeter-kalinamall.cfg.example). В нём **нет** `git.kalinamall.ru`: заняты SNI `ext`, `autodiscover`, `rds`, `erp`.
2. **Gitea за HAProxy** — отдельный пример с **завершением TLS на прокси** (HTTP mode, PEM на HAProxy) или вынос Gitea на другой порт/узел — [`haproxy/haproxy-kalinamall.cfg.example`](../haproxy/haproxy-kalinamall.cfg.example).
Если нужен **один** внешний `:443` и для почты/ERP/RDS, и для Gitea с passthrough, на периметре добавляют SNI `git.kalinamall.ru` и backend в режиме TCP на `192.168.160.129:443` (если Gitea отдаёт HTTPS на 443) или проектируют публикацию Gitea на отдельном порту/хосте — см. таблицу ниже.
## Периметр: что в примере `haproxy-perimeter-kalinamall.cfg.example`
| SNI (клиент подключается к) | Backend (LAN) |
|-----------------------------|-----------------|
| `ext.kalinamall.ru`, `autodiscover.kalinamall.ru` | `192.168.160.42:443` (Exchange), TLS к бэкенду |
| `rds.kalinamall.ru` | `192.168.160.40:4430` (RDS), TLS к бэкенду |
| `erp.kalinamall.ru` | `192.168.160.150:443` (1С и т.п.), TLS к бэкенду |
| SMTP `:25` | `192.168.160.57:25` (KSMG) |
| Статистика `:8404` | HTTP stats; в файле в репозитории пароль **заглушка** — задайте свой на сервере и не храните секрет в Git. |
Неверный или неизвестный SNI на `:443` отбрасывается (`tcp-request content reject if !sni_known`).
## Имена и адреса (Gitea)
| Роль | Значение |
|------|----------|
| Публичный URL Gitea (браузер, `git remote` по HTTPS) | `https://git.kalinamall.ru` |
| SSH для Git (`git push` / `clone` по SSH) | хост `git.kalinamall.ru`, порт **2222** (как на HAProxy в примере) |
| Бэкенд Gitea в LAN | **`192.168.160.129`** — рекомендуется в `server` строках HAProxy для предсказуемости и отсутствия зависимости от DNS на самом прокси |
| Альтернатива бэкенду | **`git.kalinamall.ru:3000`** и **`:2222`** — допустимо, если на узле HAProxy имя резолвится во внутренний IP сервера Gitea (Split DNS или запись в `/etc/hosts`) |
Пример конфигурации только для Gitea + ACME см. в репозитории:
- [`haproxy/haproxy-kalinamall.cfg.example`](../haproxy/haproxy-kalinamall.cfg.example)
Полный многосервисный образец (другие vhost, Zabbix, DSM и т.д.) — в [`haproxy/haproxy.cfg`](../haproxy/haproxy.cfg); нужные блоки можно перенести в свой боевой конфиг и подставить свои хосты и LAN IP.
## TLS-сертификат на HAProxy
- Файл PEM в примере: `/etc/haproxy/certs/kalinamall.pem` (цепочка + ключ).
- В **SAN** сертификата должно быть имя **`git.kalinamall.ru`** (и любые другие имена, для которых этот же `bind` принимает HTTPS).
## Gitea: `ROOT_URL` и SSH
В `app.ini` на сервере Gitea (не на HAProxy):
- `ROOT_URL=https://git.kalinamall.ru/`
- Для SSH обычно задают отображение для пользователей: домен `git.kalinamall.ru`, порт **2222** (совпадает с тем, что слушает HAProxy снаружи).
После смены домена перезапустите контейнер Gitea.
## DNS
- **Из интернета:** `git.kalinamall.ru` → публичный IP HAProxy (или NAT на него).
- **Из LAN:** удобно настроить **Split DNS**: тот же FQDN указывает на внутренний IP HAProxy или напрямую на Gitea — тогда один и тот же URL в документации и в remotes.
Если Split DNS нет, изнутри сети можно пользоваться `https://192.168.160.129` только для проверки, но для постоянной работы лучше имя и корректный `ROOT_URL`.
## Проверка после выкладки конфига
На узле HAProxy:
```bash
sudo haproxy -c -f /etc/haproxy/haproxy.cfg
sudo systemctl reload haproxy
```
Снаружи и из LAN (по необходимости):
```bash
curl -fsS -o /dev/null -w "%{http_code}\n" https://git.kalinamall.ru/api/healthz
ssh -T -p 2222 git@git.kalinamall.ru
```
## Клиент SSH (`~/.ssh/config`)
Пример:
```sshconfig
Host git-kalinamall
HostName git.kalinamall.ru
User git
Port 2222
IdentityFile ~/.ssh/id_ed25519
IdentitiesOnly yes
```
haproxy/haproxy-kalinamall.cfg.example
-91
View File
@@ -1,91 +0,0 @@
# HAProxy — пример для Kalina Mall / git.kalinamall.ru
# Версия синтаксиса: HAProxy 2.4+
#
# TLS завершается на HAProxy.
# Публичное имя Gitea: git.kalinamall.ru
# Бэкенд Gitea в LAN: 192.168.160.129 (или то же имя git.kalinamall.ru, если Split DNS / запись указывает на LAN).
#
# Сертификат PEM на прокси: SAN должен включать git.kalinamall.ru (и при необходимости другие имена этого frontend).
# Пример пути:
# /etc/haproxy/certs/kalinamall.pem
#
# Остальные сервисы (Synology, Zabbix, RDP и т.д.) см. в референсе `haproxy/haproxy.cfg` — перенесите нужные frontend/backend
# и подставьте свои ACL и LAN IP.
global
log stdout format raw local0
maxconn 40000
defaults
mode http
log global
option httplog
option dontlognull
timeout connect 10s
timeout client 300s
timeout server 300s
timeout http-request 10s
# --- HTTP (80): ACME + Gitea
frontend fe_http
bind *:80
mode http
option forwardfor except 127.0.0.0/8
acl path_acme path_beg /.well-known/acme-challenge/
acl host_git hdr(host) -i git.kalinamall.ru
use_backend bk_acme if path_acme
use_backend bk_gitea if host_git
default_backend bk_http_default
# --- HTTPS (443): Gitea
frontend fe_https
bind *:443 ssl crt /etc/haproxy/certs/kalinamall.pem alpn http/1.1
mode http
option forwardfor except 127.0.0.0/8
acl host_git hdr(host) -i git.kalinamall.ru
use_backend bk_gitea if host_git
default_backend bk_http_default
# Заглушка для неизвестного Host
backend bk_http_default
mode http
http-request deny deny_status 404
# ACME webroot через локальный nginx (или другой сервис на 127.0.0.1:8080)
backend bk_acme
mode http
server nginx_acme 127.0.0.1:8080
# Gitea UI + Git over HTTP(S)
backend bk_gitea
mode http
option httpchk
http-check send meth GET uri /api/healthz ver HTTP/1.1 hdr Host git.kalinamall.ru
http-check expect status 200
http-request set-header Host git.kalinamall.ru
http-request set-header X-Forwarded-Host %[req.hdr(Host)]
http-request set-header X-Forwarded-Proto https if { ssl_fc }
http-request set-header X-Forwarded-Proto http if !{ ssl_fc }
http-request set-header X-Forwarded-Port 443 if { ssl_fc }
http-request set-header X-Forwarded-Port 80 if !{ ssl_fc }
server gitea1 192.168.160.129:3000 check inter 10s rise 2 fall 3
# Если на HAProxy git.kalinamall.ru резолвится во внутренний IP Gitea:
# server gitea1 git.kalinamall.ru:3000 check inter 10s rise 2 fall 3
# Git SSH: внешний :2222 -> Gitea SSH на хосте Gitea
frontend fe_git_ssh
bind *:2222
mode tcp
option tcplog
default_backend bk_git_ssh
backend bk_git_ssh
mode tcp
server gitea_ssh 192.168.160.129:2222 check inter 10s rise 2 fall 3
# server gitea_ssh git.kalinamall.ru:2222 check inter 10s rise 2 fall 3