feat(haproxy): fe_stats, stats-allowed, sync с prod (0.7.7).

haproxy.cfg

@@ -1,5 +1,5 @@
 # HAProxy — периметровый reverse-proxy для kalinamall.ru
-# Config version: 0.7.6
+# Config version: 0.7.7
 # Режим: TCP + SNI на 443 (TLS end-to-end, сертификаты на бэкендах)
 # HTTP на 80: zabbix.kalinamall.ru → 192.168.160.53 (allowlist zabbix-allowed)
 #
@@ -40,7 +40,6 @@ frontend fe_https_sni
     mode tcp
     option tcplog
     log-format '{"time":"%t","client":"%ci","port":%cp,"fe":"%f","be":"%b","srv":"%s","sni":%{+Q}[capture.req.hdr(0)],"bytes":%B,"term":"%tsc","tw":%Tw,"tc":%Tc,"tt":%Tt}'
-
     tcp-request inspect-delay 5s
     tcp-request content capture req.ssl_sni len 128
     tcp-request content accept if { req_ssl_hello_type 1 }
@@ -152,12 +151,18 @@ backend be_ksmg_smtp
     server ksmg 192.168.160.57:25 check
 
 # -----------------------------------------------------------------------------
-# Опционально: статистика (раскомментируйте и задайте пароль)
+# Статистика HAProxy — только LAN/admin (allowlist stats-allowed)
+# Пароль stats auth задаётся на сервере (/etc/haproxy/haproxy.cfg), не в GitHub.
 # -----------------------------------------------------------------------------
-# frontend fe_stats
-#     bind *:8404
-#     mode http
-#     stats enable
-#     stats uri /stats
-#     stats refresh 10s
-#     stats auth admin:CHANGEME
+
+frontend fe_stats
+    bind 192.168.160.117:8404
+    mode http
+    option httplog
+    acl src_stats_allowed src -f /etc/haproxy/stats-allowed
+    http-request deny deny_status 403 if !src_stats_allowed
+    stats enable
+    stats uri /stats
+    stats refresh 10s
+    stats auth admin:CHANGEME
+    # stats hide-version