From 9d8d37eaf691bff9ea2d895849efc87654bffb61 Mon Sep 17 00:00:00 2001 From: PTah Date: Wed, 22 Apr 2026 10:06:47 +1000 Subject: [PATCH] feat: add Kalina Mall HAProxy examples and docs Made-with: Cursor --- .github/workflows/haproxy-lint.yml | 14 +++ README.md | 5 + docs/haproxy-kalinamall.md | 85 +++++++++++++++++ haproxy/haproxy-kalinamall.cfg.example | 91 +++++++++++++++++++ .../haproxy-perimeter-kalinamall.cfg.example | 86 ++++++++++++++++++ 5 files changed, 281 insertions(+) create mode 100644 docs/haproxy-kalinamall.md create mode 100644 haproxy/haproxy-kalinamall.cfg.example create mode 100644 haproxy/haproxy-perimeter-kalinamall.cfg.example diff --git a/.github/workflows/haproxy-lint.yml b/.github/workflows/haproxy-lint.yml index 3b75ae3..1d617f8 100644 --- a/.github/workflows/haproxy-lint.yml +++ b/.github/workflows/haproxy-lint.yml @@ -40,3 +40,17 @@ jobs: - name: Validate haproxy cfg run: | sudo haproxy -c -f /etc/haproxy/haproxy.cfg + + - name: Validate kalinamall HAProxy example + run: | + openssl req -x509 -nodes -newkey rsa:2048 \ + -keyout /tmp/kalinamall.key \ + -out /tmp/kalinamall.crt \ + -days 1 \ + -subj "/CN=git.kalinamall.ru" + cat /tmp/kalinamall.crt /tmp/kalinamall.key | sudo tee /etc/haproxy/certs/kalinamall.pem >/dev/null + sudo haproxy -c -f haproxy/haproxy-kalinamall.cfg.example + + - name: Validate kalinamall perimeter HAProxy example + run: | + sudo haproxy -c -f haproxy/haproxy-perimeter-kalinamall.cfg.example diff --git a/README.md b/README.md index 2e4ade6..50b31ef 100644 --- a/README.md +++ b/README.md @@ -10,6 +10,8 @@ ## Состав репозитория - `haproxy/haproxy.cfg` — полный конфиг HAProxy (с Gitea, Zabbix, Synology, RDP, SMTP). +- `haproxy/haproxy-kalinamall.cfg.example` — пример HAProxy только под Gitea для `git.kalinamall.ru` → LAN `192.168.160.129`. +- `haproxy/haproxy-perimeter-kalinamall.cfg.example` — периметровый HAProxy (TCP+SNI `:443`, Exchange/RDS/ERP, SMTP); снимок с боевого kalinamall.ru. - `gitea/docker-compose.yml` — запуск Gitea в Docker. - `gitea/app.ini.example` — шаблон конфигурации Gitea. - `scripts/migrate-github-to-gitea.sh` — массовая миграция репозиториев GitHub в Gitea. @@ -25,6 +27,7 @@ - `Makefile` — быстрые команды установки/проверки/миграции. - `docs/troubleshooting.md` — типовые проблемы и диагностика. - `docs/security-hardening.md` — чеклист усиления безопасности (P0/P1/P2). +- `docs/haproxy-kalinamall.md` — HAProxy и DNS для развёртывания `git.kalinamall.ru` / `192.168.160.129`. - `.github/workflows/haproxy-lint.yml` — CI-проверка синтаксиса `haproxy.cfg`. - `.github/workflows/scripts-and-docs-check.yml` — `shellcheck` и проверка markdown-ссылок. - `systemd/` — unit/timer для ежедневных бэкапов через systemd. @@ -39,6 +42,8 @@ - Внутренний доступ к Gitea: `192.168.128.100:3000`. - Git SSH: внешний `:2222` на HAProxy -> внутренний `192.168.128.100:2222`. +Отдельный контур **kalinamall.ru**: публичное имя `git.kalinamall.ru`, бэкенд Gitea в LAN `192.168.160.129` — см. [`docs/haproxy-kalinamall.md`](docs/haproxy-kalinamall.md) и пример [`haproxy/haproxy-kalinamall.cfg.example`](haproxy/haproxy-kalinamall.cfg.example). + ## 1) Установка Gitea ```bash diff --git a/docs/haproxy-kalinamall.md b/docs/haproxy-kalinamall.md new file mode 100644 index 0000000..b04fa9f --- /dev/null +++ b/docs/haproxy-kalinamall.md @@ -0,0 +1,85 @@ +# HAProxy и Gitea для kalinamall.ru + +Здесь два связанных сценария: + +1. **Периметровый HAProxy (продакшен kalinamall.ru)** — TCP на `:443`, маршрутизация по **SNI**, TLS до бэкендов (сертификаты на Exchange/RDS/ERP). Готовый снимок конфигурации: [`haproxy/haproxy-perimeter-kalinamall.cfg.example`](../haproxy/haproxy-perimeter-kalinamall.cfg.example). В нём **нет** `git.kalinamall.ru`: заняты SNI `ext`, `autodiscover`, `rds`, `erp`. +2. **Gitea за HAProxy** — отдельный пример с **завершением TLS на прокси** (HTTP mode, PEM на HAProxy) или вынос Gitea на другой порт/узел — [`haproxy/haproxy-kalinamall.cfg.example`](../haproxy/haproxy-kalinamall.cfg.example). + +Если нужен **один** внешний `:443` и для почты/ERP/RDS, и для Gitea с passthrough, на периметре добавляют SNI `git.kalinamall.ru` и backend в режиме TCP на `192.168.160.129:443` (если Gitea отдаёт HTTPS на 443) или проектируют публикацию Gitea на отдельном порту/хосте — см. таблицу ниже. + +## Периметр: что в примере `haproxy-perimeter-kalinamall.cfg.example` + +| SNI (клиент подключается к) | Backend (LAN) | +|-----------------------------|-----------------| +| `ext.kalinamall.ru`, `autodiscover.kalinamall.ru` | `192.168.160.42:443` (Exchange), TLS к бэкенду | +| `rds.kalinamall.ru` | `192.168.160.40:4430` (RDS), TLS к бэкенду | +| `erp.kalinamall.ru` | `192.168.160.150:443` (1С и т.п.), TLS к бэкенду | +| SMTP `:25` | `192.168.160.57:25` (KSMG) | +| Статистика `:8404` | HTTP stats; в файле в репозитории пароль **заглушка** — задайте свой на сервере и не храните секрет в Git. | + +Неверный или неизвестный SNI на `:443` отбрасывается (`tcp-request content reject if !sni_known`). + +## Имена и адреса (Gitea) + +| Роль | Значение | +|------|----------| +| Публичный URL Gitea (браузер, `git remote` по HTTPS) | `https://git.kalinamall.ru` | +| SSH для Git (`git push` / `clone` по SSH) | хост `git.kalinamall.ru`, порт **2222** (как на HAProxy в примере) | +| Бэкенд Gitea в LAN | **`192.168.160.129`** — рекомендуется в `server` строках HAProxy для предсказуемости и отсутствия зависимости от DNS на самом прокси | +| Альтернатива бэкенду | **`git.kalinamall.ru:3000`** и **`:2222`** — допустимо, если на узле HAProxy имя резолвится во внутренний IP сервера Gitea (Split DNS или запись в `/etc/hosts`) | + +Пример конфигурации только для Gitea + ACME см. в репозитории: + +- [`haproxy/haproxy-kalinamall.cfg.example`](../haproxy/haproxy-kalinamall.cfg.example) + +Полный многосервисный образец (другие vhost, Zabbix, DSM и т.д.) — в [`haproxy/haproxy.cfg`](../haproxy/haproxy.cfg); нужные блоки можно перенести в свой боевой конфиг и подставить свои хосты и LAN IP. + +## TLS-сертификат на HAProxy + +- Файл PEM в примере: `/etc/haproxy/certs/kalinamall.pem` (цепочка + ключ). +- В **SAN** сертификата должно быть имя **`git.kalinamall.ru`** (и любые другие имена, для которых этот же `bind` принимает HTTPS). + +## Gitea: `ROOT_URL` и SSH + +В `app.ini` на сервере Gitea (не на HAProxy): + +- `ROOT_URL=https://git.kalinamall.ru/` +- Для SSH обычно задают отображение для пользователей: домен `git.kalinamall.ru`, порт **2222** (совпадает с тем, что слушает HAProxy снаружи). + +После смены домена перезапустите контейнер Gitea. + +## DNS + +- **Из интернета:** `git.kalinamall.ru` → публичный IP HAProxy (или NAT на него). +- **Из LAN:** удобно настроить **Split DNS**: тот же FQDN указывает на внутренний IP HAProxy или напрямую на Gitea — тогда один и тот же URL в документации и в remotes. + +Если Split DNS нет, изнутри сети можно пользоваться `https://192.168.160.129` только для проверки, но для постоянной работы лучше имя и корректный `ROOT_URL`. + +## Проверка после выкладки конфига + +На узле HAProxy: + +```bash +sudo haproxy -c -f /etc/haproxy/haproxy.cfg +sudo systemctl reload haproxy +``` + +Снаружи и из LAN (по необходимости): + +```bash +curl -fsS -o /dev/null -w "%{http_code}\n" https://git.kalinamall.ru/api/healthz +ssh -T -p 2222 git@git.kalinamall.ru +``` + +## Клиент SSH (`~/.ssh/config`) + +Пример: + +```sshconfig +Host git-kalinamall + HostName git.kalinamall.ru + User git + Port 2222 + IdentityFile ~/.ssh/id_ed25519 + IdentitiesOnly yes +``` diff --git a/haproxy/haproxy-kalinamall.cfg.example b/haproxy/haproxy-kalinamall.cfg.example new file mode 100644 index 0000000..2857f6f --- /dev/null +++ b/haproxy/haproxy-kalinamall.cfg.example @@ -0,0 +1,91 @@ +# HAProxy — пример для Kalina Mall / git.kalinamall.ru +# Версия синтаксиса: HAProxy 2.4+ +# +# TLS завершается на HAProxy. +# Публичное имя Gitea: git.kalinamall.ru +# Бэкенд Gitea в LAN: 192.168.160.129 (или то же имя git.kalinamall.ru, если Split DNS / запись указывает на LAN). +# +# Сертификат PEM на прокси: SAN должен включать git.kalinamall.ru (и при необходимости другие имена этого frontend). +# Пример пути: +# /etc/haproxy/certs/kalinamall.pem +# +# Остальные сервисы (Synology, Zabbix, RDP и т.д.) см. в референсе `haproxy/haproxy.cfg` — перенесите нужные frontend/backend +# и подставьте свои ACL и LAN IP. + +global + log stdout format raw local0 + maxconn 40000 + +defaults + mode http + log global + option httplog + option dontlognull + timeout connect 10s + timeout client 300s + timeout server 300s + timeout http-request 10s + +# --- HTTP (80): ACME + Gitea +frontend fe_http + bind *:80 + mode http + option forwardfor except 127.0.0.0/8 + + acl path_acme path_beg /.well-known/acme-challenge/ + acl host_git hdr(host) -i git.kalinamall.ru + + use_backend bk_acme if path_acme + use_backend bk_gitea if host_git + + default_backend bk_http_default + +# --- HTTPS (443): Gitea +frontend fe_https + bind *:443 ssl crt /etc/haproxy/certs/kalinamall.pem alpn http/1.1 + mode http + option forwardfor except 127.0.0.0/8 + + acl host_git hdr(host) -i git.kalinamall.ru + + use_backend bk_gitea if host_git + + default_backend bk_http_default + +# Заглушка для неизвестного Host +backend bk_http_default + mode http + http-request deny deny_status 404 + +# ACME webroot через локальный nginx (или другой сервис на 127.0.0.1:8080) +backend bk_acme + mode http + server nginx_acme 127.0.0.1:8080 + +# Gitea UI + Git over HTTP(S) +backend bk_gitea + mode http + option httpchk + http-check send meth GET uri /api/healthz ver HTTP/1.1 hdr Host git.kalinamall.ru + http-check expect status 200 + http-request set-header Host git.kalinamall.ru + http-request set-header X-Forwarded-Host %[req.hdr(Host)] + http-request set-header X-Forwarded-Proto https if { ssl_fc } + http-request set-header X-Forwarded-Proto http if !{ ssl_fc } + http-request set-header X-Forwarded-Port 443 if { ssl_fc } + http-request set-header X-Forwarded-Port 80 if !{ ssl_fc } + server gitea1 192.168.160.129:3000 check inter 10s rise 2 fall 3 + # Если на HAProxy git.kalinamall.ru резолвится во внутренний IP Gitea: + # server gitea1 git.kalinamall.ru:3000 check inter 10s rise 2 fall 3 + +# Git SSH: внешний :2222 -> Gitea SSH на хосте Gitea +frontend fe_git_ssh + bind *:2222 + mode tcp + option tcplog + default_backend bk_git_ssh + +backend bk_git_ssh + mode tcp + server gitea_ssh 192.168.160.129:2222 check inter 10s rise 2 fall 3 + # server gitea_ssh git.kalinamall.ru:2222 check inter 10s rise 2 fall 3 diff --git a/haproxy/haproxy-perimeter-kalinamall.cfg.example b/haproxy/haproxy-perimeter-kalinamall.cfg.example new file mode 100644 index 0000000..997ef62 --- /dev/null +++ b/haproxy/haproxy-perimeter-kalinamall.cfg.example @@ -0,0 +1,86 @@ +# HAProxy — периметровый reverse-proxy для kalinamall.ru +# Режим: TCP + SNI на 443 (TLS end-to-end, сертификаты GlobalSign wildcard на бэкендах) +# +# Проверка синтаксиса: haproxy -c -f /etc/haproxy/haproxy.cfg +# Установка: скопируйте в /etc/haproxy/haproxy.cfg (или подключите через include) +# +# ВНИМАНИЕ: пароль stats ниже — заглушка; задайте свой и не коммитьте секреты в Git. + +global + log stdout format raw local0 + maxconn 50000 + # Раскомментируйте на Linux с syslog: + # log /dev/log local0 + +defaults + log global + mode tcp + option dontlognull + option tcplog + timeout connect 10s + timeout client 3600s + timeout server 3600s + # Для ActiveSync / больших вложений Exchange при необходимости увеличьте client/server + +# ----------------------------------------------------------------------------- +# HTTPS (443): маршрутизация по SNI → внутренние серверы с wildcard на 443 +# Клиенты: ext, autodiscover (Exchange) / rds / erp.kalinamall.ru +# Бэкенды: Exchange, RDS, 1С (см. README и docs/haproxy-kalinamall.md) +# Пути URL (/owa, /ecp, /ews/, /mapi/ …) HAProxy не разбирает — они внутри TLS; достаточно SNI ext.kalinamall.ru +# ----------------------------------------------------------------------------- + +frontend fe_https_sni + bind *:443 + mode tcp + tcp-request inspect-delay 5s + tcp-request content accept if { req_ssl_hello_type 1 } + + # SNI должен быть из списка (несколько acl с одним именем — логическое ИЛИ) + acl sni_known req_ssl_sni -i ext.kalinamall.ru + acl sni_known req_ssl_sni -i autodiscover.kalinamall.ru + acl sni_known req_ssl_sni -i rds.kalinamall.ru + acl sni_known req_ssl_sni -i erp.kalinamall.ru + # tcp-request обрабатываются до use_backend — reject ставим ДО use_backend, иначе предупреждение парсера + tcp-request content reject if !sni_known + + # OWA: https://ext.kalinamall.ru/owa — тот же поток, отдельное правило не требуется + use_backend be_exchange if { req_ssl_sni -i ext.kalinamall.ru } + use_backend be_exchange if { req_ssl_sni -i autodiscover.kalinamall.ru } + use_backend be_rds if { req_ssl_sni -i rds.kalinamall.ru } + use_backend be_erp if { req_ssl_sni -i erp.kalinamall.ru } + +backend be_exchange + # fifth.kalinamall.ru (192.168.160.42) — внешние имена HTTPS: ext.kalinamall.ru, autodiscover.kalinamall.ru + server exch 192.168.160.42:443 check ssl verify none + +backend be_rds + # k6a-dc3.b26.kalinamall.ru (192.168.160.40) — RDS слушает TLS на 4430; снаружи клиенты идут на rds.kalinamall.ru:443 + server rds 192.168.160.40:4430 check ssl verify none + +backend be_erp + # hp-serv.b26.kalinamall.ru (192.168.160.150) + server erp 192.168.160.150:443 check ssl verify none + +# ----------------------------------------------------------------------------- +# SMTP (25): почтовый шлюз KSMG +# Внешнее имя: ksmg.kalinamall.ru +# ----------------------------------------------------------------------------- + +frontend fe_smtp + bind *:25 + default_backend be_ksmg_smtp + +backend be_ksmg_smtp + server ksmg 192.168.160.57:25 check + +# ----------------------------------------------------------------------------- +# Опционально: статистика (раскомментируйте и задайте пароль) +# ----------------------------------------------------------------------------- + +frontend fe_stats + bind *:8404 + mode http + stats enable + stats uri /stats + stats refresh 10s + stats auth admin:CHANGEME_STATS_PASSWORD