feat: add Kalina Mall HAProxy examples and docs
Made-with: Cursor
This commit is contained in:
PTah
@@ -0,0 +1,91 @@
|
||||
# HAProxy — пример для Kalina Mall / git.kalinamall.ru
|
||||
# Версия синтаксиса: HAProxy 2.4+
|
||||
#
|
||||
# TLS завершается на HAProxy.
|
||||
# Публичное имя Gitea: git.kalinamall.ru
|
||||
# Бэкенд Gitea в LAN: 192.168.160.129 (или то же имя git.kalinamall.ru, если Split DNS / запись указывает на LAN).
|
||||
#
|
||||
# Сертификат PEM на прокси: SAN должен включать git.kalinamall.ru (и при необходимости другие имена этого frontend).
|
||||
# Пример пути:
|
||||
# /etc/haproxy/certs/kalinamall.pem
|
||||
#
|
||||
# Остальные сервисы (Synology, Zabbix, RDP и т.д.) см. в референсе `haproxy/haproxy.cfg` — перенесите нужные frontend/backend
|
||||
# и подставьте свои ACL и LAN IP.
|
||||
|
||||
global
|
||||
log stdout format raw local0
|
||||
maxconn 40000
|
||||
|
||||
defaults
|
||||
mode http
|
||||
log global
|
||||
option httplog
|
||||
option dontlognull
|
||||
timeout connect 10s
|
||||
timeout client 300s
|
||||
timeout server 300s
|
||||
timeout http-request 10s
|
||||
|
||||
# --- HTTP (80): ACME + Gitea
|
||||
frontend fe_http
|
||||
bind *:80
|
||||
mode http
|
||||
option forwardfor except 127.0.0.0/8
|
||||
|
||||
acl path_acme path_beg /.well-known/acme-challenge/
|
||||
acl host_git hdr(host) -i git.kalinamall.ru
|
||||
|
||||
use_backend bk_acme if path_acme
|
||||
use_backend bk_gitea if host_git
|
||||
|
||||
default_backend bk_http_default
|
||||
|
||||
# --- HTTPS (443): Gitea
|
||||
frontend fe_https
|
||||
bind *:443 ssl crt /etc/haproxy/certs/kalinamall.pem alpn http/1.1
|
||||
mode http
|
||||
option forwardfor except 127.0.0.0/8
|
||||
|
||||
acl host_git hdr(host) -i git.kalinamall.ru
|
||||
|
||||
use_backend bk_gitea if host_git
|
||||
|
||||
default_backend bk_http_default
|
||||
|
||||
# Заглушка для неизвестного Host
|
||||
backend bk_http_default
|
||||
mode http
|
||||
http-request deny deny_status 404
|
||||
|
||||
# ACME webroot через локальный nginx (или другой сервис на 127.0.0.1:8080)
|
||||
backend bk_acme
|
||||
mode http
|
||||
server nginx_acme 127.0.0.1:8080
|
||||
|
||||
# Gitea UI + Git over HTTP(S)
|
||||
backend bk_gitea
|
||||
mode http
|
||||
option httpchk
|
||||
http-check send meth GET uri /api/healthz ver HTTP/1.1 hdr Host git.kalinamall.ru
|
||||
http-check expect status 200
|
||||
http-request set-header Host git.kalinamall.ru
|
||||
http-request set-header X-Forwarded-Host %[req.hdr(Host)]
|
||||
http-request set-header X-Forwarded-Proto https if { ssl_fc }
|
||||
http-request set-header X-Forwarded-Proto http if !{ ssl_fc }
|
||||
http-request set-header X-Forwarded-Port 443 if { ssl_fc }
|
||||
http-request set-header X-Forwarded-Port 80 if !{ ssl_fc }
|
||||
server gitea1 192.168.160.129:3000 check inter 10s rise 2 fall 3
|
||||
# Если на HAProxy git.kalinamall.ru резолвится во внутренний IP Gitea:
|
||||
# server gitea1 git.kalinamall.ru:3000 check inter 10s rise 2 fall 3
|
||||
|
||||
# Git SSH: внешний :2222 -> Gitea SSH на хосте Gitea
|
||||
frontend fe_git_ssh
|
||||
bind *:2222
|
||||
mode tcp
|
||||
option tcplog
|
||||
default_backend bk_git_ssh
|
||||
|
||||
backend bk_git_ssh
|
||||
mode tcp
|
||||
server gitea_ssh 192.168.160.129:2222 check inter 10s rise 2 fall 3
|
||||
# server gitea_ssh git.kalinamall.ru:2222 check inter 10s rise 2 fall 3
|
||||
@@ -0,0 +1,86 @@
|
||||
# HAProxy — периметровый reverse-proxy для kalinamall.ru
|
||||
# Режим: TCP + SNI на 443 (TLS end-to-end, сертификаты GlobalSign wildcard на бэкендах)
|
||||
#
|
||||
# Проверка синтаксиса: haproxy -c -f /etc/haproxy/haproxy.cfg
|
||||
# Установка: скопируйте в /etc/haproxy/haproxy.cfg (или подключите через include)
|
||||
#
|
||||
# ВНИМАНИЕ: пароль stats ниже — заглушка; задайте свой и не коммитьте секреты в Git.
|
||||
|
||||
global
|
||||
log stdout format raw local0
|
||||
maxconn 50000
|
||||
# Раскомментируйте на Linux с syslog:
|
||||
# log /dev/log local0
|
||||
|
||||
defaults
|
||||
log global
|
||||
mode tcp
|
||||
option dontlognull
|
||||
option tcplog
|
||||
timeout connect 10s
|
||||
timeout client 3600s
|
||||
timeout server 3600s
|
||||
# Для ActiveSync / больших вложений Exchange при необходимости увеличьте client/server
|
||||
|
||||
# -----------------------------------------------------------------------------
|
||||
# HTTPS (443): маршрутизация по SNI → внутренние серверы с wildcard на 443
|
||||
# Клиенты: ext, autodiscover (Exchange) / rds / erp.kalinamall.ru
|
||||
# Бэкенды: Exchange, RDS, 1С (см. README и docs/haproxy-kalinamall.md)
|
||||
# Пути URL (/owa, /ecp, /ews/, /mapi/ …) HAProxy не разбирает — они внутри TLS; достаточно SNI ext.kalinamall.ru
|
||||
# -----------------------------------------------------------------------------
|
||||
|
||||
frontend fe_https_sni
|
||||
bind *:443
|
||||
mode tcp
|
||||
tcp-request inspect-delay 5s
|
||||
tcp-request content accept if { req_ssl_hello_type 1 }
|
||||
|
||||
# SNI должен быть из списка (несколько acl с одним именем — логическое ИЛИ)
|
||||
acl sni_known req_ssl_sni -i ext.kalinamall.ru
|
||||
acl sni_known req_ssl_sni -i autodiscover.kalinamall.ru
|
||||
acl sni_known req_ssl_sni -i rds.kalinamall.ru
|
||||
acl sni_known req_ssl_sni -i erp.kalinamall.ru
|
||||
# tcp-request обрабатываются до use_backend — reject ставим ДО use_backend, иначе предупреждение парсера
|
||||
tcp-request content reject if !sni_known
|
||||
|
||||
# OWA: https://ext.kalinamall.ru/owa — тот же поток, отдельное правило не требуется
|
||||
use_backend be_exchange if { req_ssl_sni -i ext.kalinamall.ru }
|
||||
use_backend be_exchange if { req_ssl_sni -i autodiscover.kalinamall.ru }
|
||||
use_backend be_rds if { req_ssl_sni -i rds.kalinamall.ru }
|
||||
use_backend be_erp if { req_ssl_sni -i erp.kalinamall.ru }
|
||||
|
||||
backend be_exchange
|
||||
# fifth.kalinamall.ru (192.168.160.42) — внешние имена HTTPS: ext.kalinamall.ru, autodiscover.kalinamall.ru
|
||||
server exch 192.168.160.42:443 check ssl verify none
|
||||
|
||||
backend be_rds
|
||||
# k6a-dc3.b26.kalinamall.ru (192.168.160.40) — RDS слушает TLS на 4430; снаружи клиенты идут на rds.kalinamall.ru:443
|
||||
server rds 192.168.160.40:4430 check ssl verify none
|
||||
|
||||
backend be_erp
|
||||
# hp-serv.b26.kalinamall.ru (192.168.160.150)
|
||||
server erp 192.168.160.150:443 check ssl verify none
|
||||
|
||||
# -----------------------------------------------------------------------------
|
||||
# SMTP (25): почтовый шлюз KSMG
|
||||
# Внешнее имя: ksmg.kalinamall.ru
|
||||
# -----------------------------------------------------------------------------
|
||||
|
||||
frontend fe_smtp
|
||||
bind *:25
|
||||
default_backend be_ksmg_smtp
|
||||
|
||||
backend be_ksmg_smtp
|
||||
server ksmg 192.168.160.57:25 check
|
||||
|
||||
# -----------------------------------------------------------------------------
|
||||
# Опционально: статистика (раскомментируйте и задайте пароль)
|
||||
# -----------------------------------------------------------------------------
|
||||
|
||||
frontend fe_stats
|
||||
bind *:8404
|
||||
mode http
|
||||
stats enable
|
||||
stats uri /stats
|
||||
stats refresh 10s
|
||||
stats auth admin:CHANGEME_STATS_PASSWORD
|
||||
Reference in New Issue
Block a user