feat: add Kalina Mall HAProxy examples and docs

Made-with: Cursor
2026-04-22 10:06:47 +10:00
parent 949c334e68
commit 9d8d37eaf6
5 changed files with 281 additions and 0 deletions
@@ -40,3 +40,17 @@ jobs:
      - name: Validate haproxy cfg
        run: |
          sudo haproxy -c -f /etc/haproxy/haproxy.cfg
+
+      - name: Validate kalinamall HAProxy example
+        run: |
+          openssl req -x509 -nodes -newkey rsa:2048 \
+            -keyout /tmp/kalinamall.key \
+            -out /tmp/kalinamall.crt \
+            -days 1 \
+            -subj "/CN=git.kalinamall.ru"
+          cat /tmp/kalinamall.crt /tmp/kalinamall.key | sudo tee /etc/haproxy/certs/kalinamall.pem >/dev/null
+          sudo haproxy -c -f haproxy/haproxy-kalinamall.cfg.example
+
+      - name: Validate kalinamall perimeter HAProxy example
+        run: |
+          sudo haproxy -c -f haproxy/haproxy-perimeter-kalinamall.cfg.example
@@ -10,6 +10,8 @@
 ## Состав репозитория

 - `haproxy/haproxy.cfg` — полный конфиг HAProxy (с Gitea, Zabbix, Synology, RDP, SMTP).
+- `haproxy/haproxy-kalinamall.cfg.example` — пример HAProxy только под Gitea для `git.kalinamall.ru` → LAN `192.168.160.129`.
+- `haproxy/haproxy-perimeter-kalinamall.cfg.example` — периметровый HAProxy (TCP+SNI `:443`, Exchange/RDS/ERP, SMTP); снимок с боевого kalinamall.ru.
 - `gitea/docker-compose.yml` — запуск Gitea в Docker.
 - `gitea/app.ini.example` — шаблон конфигурации Gitea.
 - `scripts/migrate-github-to-gitea.sh` — массовая миграция репозиториев GitHub в Gitea.
@@ -25,6 +27,7 @@
 - `Makefile` — быстрые команды установки/проверки/миграции.
 - `docs/troubleshooting.md` — типовые проблемы и диагностика.
 - `docs/security-hardening.md` — чеклист усиления безопасности (P0/P1/P2).
+- `docs/haproxy-kalinamall.md` — HAProxy и DNS для развёртывания `git.kalinamall.ru` / `192.168.160.129`.
 - `.github/workflows/haproxy-lint.yml` — CI-проверка синтаксиса `haproxy.cfg`.
 - `.github/workflows/scripts-and-docs-check.yml` — `shellcheck` и проверка markdown-ссылок.
 - `systemd/` — unit/timer для ежедневных бэкапов через systemd.
@@ -39,6 +42,8 @@
 - Внутренний доступ к Gitea: `192.168.128.100:3000`.
 - Git SSH: внешний `:2222` на HAProxy -> внутренний `192.168.128.100:2222`.

+Отдельный контур **kalinamall.ru**: публичное имя `git.kalinamall.ru`, бэкенд Gitea в LAN `192.168.160.129` — см. [`docs/haproxy-kalinamall.md`](docs/haproxy-kalinamall.md) и пример [`haproxy/haproxy-kalinamall.cfg.example`](haproxy/haproxy-kalinamall.cfg.example).
+
 ## 1) Установка Gitea

 ```bash
@@ -0,0 +1,85 @@
+# HAProxy и Gitea для kalinamall.ru
+
+Здесь два связанных сценария:
+
+1. **Периметровый HAProxy (продакшен kalinamall.ru)** — TCP на `:443`, маршрутизация по **SNI**, TLS до бэкендов (сертификаты на Exchange/RDS/ERP). Готовый снимок конфигурации: [`haproxy/haproxy-perimeter-kalinamall.cfg.example`](../haproxy/haproxy-perimeter-kalinamall.cfg.example). В нём **нет** `git.kalinamall.ru`: заняты SNI `ext`, `autodiscover`, `rds`, `erp`.
+2. **Gitea за HAProxy** — отдельный пример с **завершением TLS на прокси** (HTTP mode, PEM на HAProxy) или вынос Gitea на другой порт/узел — [`haproxy/haproxy-kalinamall.cfg.example`](../haproxy/haproxy-kalinamall.cfg.example).
+
+Если нужен **один** внешний `:443` и для почты/ERP/RDS, и для Gitea с passthrough, на периметре добавляют SNI `git.kalinamall.ru` и backend в режиме TCP на `192.168.160.129:443` (если Gitea отдаёт HTTPS на 443) или проектируют публикацию Gitea на отдельном порту/хосте — см. таблицу ниже.
+
+## Периметр: что в примере `haproxy-perimeter-kalinamall.cfg.example`
+
+| SNI (клиент подключается к) | Backend (LAN) |
+|-----------------------------|-----------------|
+| `ext.kalinamall.ru`, `autodiscover.kalinamall.ru` | `192.168.160.42:443` (Exchange), TLS к бэкенду |
+| `rds.kalinamall.ru` | `192.168.160.40:4430` (RDS), TLS к бэкенду |
+| `erp.kalinamall.ru` | `192.168.160.150:443` (1С и т.п.), TLS к бэкенду |
+| SMTP `:25` | `192.168.160.57:25` (KSMG) |
+| Статистика `:8404` | HTTP stats; в файле в репозитории пароль **заглушка** — задайте свой на сервере и не храните секрет в Git. |
+
+Неверный или неизвестный SNI на `:443` отбрасывается (`tcp-request content reject if !sni_known`).
+
+## Имена и адреса (Gitea)
+
+| Роль | Значение |
+|------|----------|
+| Публичный URL Gitea (браузер, `git remote` по HTTPS) | `https://git.kalinamall.ru` |
+| SSH для Git (`git push` / `clone` по SSH) | хост `git.kalinamall.ru`, порт **2222** (как на HAProxy в примере) |
+| Бэкенд Gitea в LAN | **`192.168.160.129`** — рекомендуется в `server` строках HAProxy для предсказуемости и отсутствия зависимости от DNS на самом прокси |
+| Альтернатива бэкенду | **`git.kalinamall.ru:3000`** и **`:2222`** — допустимо, если на узле HAProxy имя резолвится во внутренний IP сервера Gitea (Split DNS или запись в `/etc/hosts`) |
+
+Пример конфигурации только для Gitea + ACME см. в репозитории:
+
+- [`haproxy/haproxy-kalinamall.cfg.example`](../haproxy/haproxy-kalinamall.cfg.example)
+
+Полный многосервисный образец (другие vhost, Zabbix, DSM и т.д.) — в [`haproxy/haproxy.cfg`](../haproxy/haproxy.cfg); нужные блоки можно перенести в свой боевой конфиг и подставить свои хосты и LAN IP.
+
+## TLS-сертификат на HAProxy
+
+- Файл PEM в примере: `/etc/haproxy/certs/kalinamall.pem` (цепочка + ключ).
+- В **SAN** сертификата должно быть имя **`git.kalinamall.ru`** (и любые другие имена, для которых этот же `bind` принимает HTTPS).
+
+## Gitea: `ROOT_URL` и SSH
+
+В `app.ini` на сервере Gitea (не на HAProxy):
+
+- `ROOT_URL=https://git.kalinamall.ru/`
+- Для SSH обычно задают отображение для пользователей: домен `git.kalinamall.ru`, порт **2222** (совпадает с тем, что слушает HAProxy снаружи).
+
+После смены домена перезапустите контейнер Gitea.
+
+## DNS
+
+- **Из интернета:** `git.kalinamall.ru` → публичный IP HAProxy (или NAT на него).
+- **Из LAN:** удобно настроить **Split DNS**: тот же FQDN указывает на внутренний IP HAProxy или напрямую на Gitea — тогда один и тот же URL в документации и в remotes.
+
+Если Split DNS нет, изнутри сети можно пользоваться `https://192.168.160.129` только для проверки, но для постоянной работы лучше имя и корректный `ROOT_URL`.
+
+## Проверка после выкладки конфига
+
+На узле HAProxy:
+
+```bash
+sudo haproxy -c -f /etc/haproxy/haproxy.cfg
+sudo systemctl reload haproxy
+```
+
+Снаружи и из LAN (по необходимости):
+
+```bash
+curl -fsS -o /dev/null -w "%{http_code}\n" https://git.kalinamall.ru/api/healthz
+ssh -T -p 2222 git@git.kalinamall.ru
+```
+
+## Клиент SSH (`~/.ssh/config`)
+
+Пример:
+
+```sshconfig
+Host git-kalinamall
+    HostName git.kalinamall.ru
+    User git
+    Port 2222
+    IdentityFile ~/.ssh/id_ed25519
+    IdentitiesOnly yes
+```
@@ -0,0 +1,91 @@
+# HAProxy — пример для Kalina Mall / git.kalinamall.ru
+# Версия синтаксиса: HAProxy 2.4+
+#
+# TLS завершается на HAProxy.
+# Публичное имя Gitea: git.kalinamall.ru
+# Бэкенд Gitea в LAN: 192.168.160.129 (или то же имя git.kalinamall.ru, если Split DNS / запись указывает на LAN).
+#
+# Сертификат PEM на прокси: SAN должен включать git.kalinamall.ru (и при необходимости другие имена этого frontend).
+# Пример пути:
+#   /etc/haproxy/certs/kalinamall.pem
+#
+# Остальные сервисы (Synology, Zabbix, RDP и т.д.) см. в референсе `haproxy/haproxy.cfg` — перенесите нужные frontend/backend
+# и подставьте свои ACL и LAN IP.
+
+global
+    log stdout format raw local0
+    maxconn 40000
+
+defaults
+    mode http
+    log global
+    option httplog
+    option dontlognull
+    timeout connect 10s
+    timeout client  300s
+    timeout server  300s
+    timeout http-request 10s
+
+# --- HTTP (80): ACME + Gitea
+frontend fe_http
+    bind *:80
+    mode http
+    option forwardfor except 127.0.0.0/8
+
+    acl path_acme path_beg /.well-known/acme-challenge/
+    acl host_git hdr(host) -i git.kalinamall.ru
+
+    use_backend bk_acme if path_acme
+    use_backend bk_gitea if host_git
+
+    default_backend bk_http_default
+
+# --- HTTPS (443): Gitea
+frontend fe_https
+    bind *:443 ssl crt /etc/haproxy/certs/kalinamall.pem alpn http/1.1
+    mode http
+    option forwardfor except 127.0.0.0/8
+
+    acl host_git hdr(host) -i git.kalinamall.ru
+
+    use_backend bk_gitea if host_git
+
+    default_backend bk_http_default
+
+# Заглушка для неизвестного Host
+backend bk_http_default
+    mode http
+    http-request deny deny_status 404
+
+# ACME webroot через локальный nginx (или другой сервис на 127.0.0.1:8080)
+backend bk_acme
+    mode http
+    server nginx_acme 127.0.0.1:8080
+
+# Gitea UI + Git over HTTP(S)
+backend bk_gitea
+    mode http
+    option httpchk
+    http-check send meth GET uri /api/healthz ver HTTP/1.1 hdr Host git.kalinamall.ru
+    http-check expect status 200
+    http-request set-header Host git.kalinamall.ru
+    http-request set-header X-Forwarded-Host %[req.hdr(Host)]
+    http-request set-header X-Forwarded-Proto https if { ssl_fc }
+    http-request set-header X-Forwarded-Proto http if !{ ssl_fc }
+    http-request set-header X-Forwarded-Port 443 if { ssl_fc }
+    http-request set-header X-Forwarded-Port 80 if !{ ssl_fc }
+    server gitea1 192.168.160.129:3000 check inter 10s rise 2 fall 3
+    # Если на HAProxy git.kalinamall.ru резолвится во внутренний IP Gitea:
+    # server gitea1 git.kalinamall.ru:3000 check inter 10s rise 2 fall 3
+
+# Git SSH: внешний :2222 -> Gitea SSH на хосте Gitea
+frontend fe_git_ssh
+    bind *:2222
+    mode tcp
+    option tcplog
+    default_backend bk_git_ssh
+
+backend bk_git_ssh
+    mode tcp
+    server gitea_ssh 192.168.160.129:2222 check inter 10s rise 2 fall 3
+    # server gitea_ssh git.kalinamall.ru:2222 check inter 10s rise 2 fall 3
@@ -0,0 +1,86 @@
+# HAProxy — периметровый reverse-proxy для kalinamall.ru
+# Режим: TCP + SNI на 443 (TLS end-to-end, сертификаты GlobalSign wildcard на бэкендах)
+#
+# Проверка синтаксиса: haproxy -c -f /etc/haproxy/haproxy.cfg
+# Установка: скопируйте в /etc/haproxy/haproxy.cfg (или подключите через include)
+#
+# ВНИМАНИЕ: пароль stats ниже — заглушка; задайте свой и не коммитьте секреты в Git.
+
+global
+    log stdout format raw local0
+    maxconn 50000
+    # Раскомментируйте на Linux с syslog:
+    # log /dev/log local0
+
+defaults
+    log     global
+    mode    tcp
+    option  dontlognull
+    option  tcplog
+    timeout connect 10s
+    timeout client  3600s
+    timeout server  3600s
+    # Для ActiveSync / больших вложений Exchange при необходимости увеличьте client/server
+
+# -----------------------------------------------------------------------------
+# HTTPS (443): маршрутизация по SNI → внутренние серверы с wildcard на 443
+# Клиенты: ext, autodiscover (Exchange) / rds / erp.kalinamall.ru
+# Бэкенды: Exchange, RDS, 1С (см. README и docs/haproxy-kalinamall.md)
+# Пути URL (/owa, /ecp, /ews/, /mapi/ …) HAProxy не разбирает — они внутри TLS; достаточно SNI ext.kalinamall.ru
+# -----------------------------------------------------------------------------
+
+frontend fe_https_sni
+    bind *:443
+    mode tcp
+    tcp-request inspect-delay 5s
+    tcp-request content accept if { req_ssl_hello_type 1 }
+
+    # SNI должен быть из списка (несколько acl с одним именем — логическое ИЛИ)
+    acl sni_known req_ssl_sni -i ext.kalinamall.ru
+    acl sni_known req_ssl_sni -i autodiscover.kalinamall.ru
+    acl sni_known req_ssl_sni -i rds.kalinamall.ru
+    acl sni_known req_ssl_sni -i erp.kalinamall.ru
+    # tcp-request обрабатываются до use_backend — reject ставим ДО use_backend, иначе предупреждение парсера
+    tcp-request content reject if !sni_known
+
+    # OWA: https://ext.kalinamall.ru/owa — тот же поток, отдельное правило не требуется
+    use_backend be_exchange if { req_ssl_sni -i ext.kalinamall.ru }
+    use_backend be_exchange if { req_ssl_sni -i autodiscover.kalinamall.ru }
+    use_backend be_rds      if { req_ssl_sni -i rds.kalinamall.ru }
+    use_backend be_erp      if { req_ssl_sni -i erp.kalinamall.ru }
+
+backend be_exchange
+    # fifth.kalinamall.ru (192.168.160.42) — внешние имена HTTPS: ext.kalinamall.ru, autodiscover.kalinamall.ru
+    server exch 192.168.160.42:443 check ssl verify none
+
+backend be_rds
+    # k6a-dc3.b26.kalinamall.ru (192.168.160.40) — RDS слушает TLS на 4430; снаружи клиенты идут на rds.kalinamall.ru:443
+    server rds 192.168.160.40:4430 check ssl verify none
+
+backend be_erp
+    # hp-serv.b26.kalinamall.ru (192.168.160.150)
+    server erp 192.168.160.150:443 check ssl verify none
+
+# -----------------------------------------------------------------------------
+# SMTP (25): почтовый шлюз KSMG
+# Внешнее имя: ksmg.kalinamall.ru
+# -----------------------------------------------------------------------------
+
+frontend fe_smtp
+    bind *:25
+    default_backend be_ksmg_smtp
+
+backend be_ksmg_smtp
+    server ksmg 192.168.160.57:25 check
+
+# -----------------------------------------------------------------------------
+# Опционально: статистика (раскомментируйте и задайте пароль)
+# -----------------------------------------------------------------------------
+
+frontend fe_stats
+    bind *:8404
+    mode http
+    stats enable
+    stats uri /stats
+    stats refresh 10s
+    stats auth admin:CHANGEME_STATS_PASSWORD