From 6a75c9b7a2f1d8f566cd751f9eb0b4a626aa927d Mon Sep 17 00:00:00 2001 From: PTah Date: Mon, 27 Apr 2026 08:58:46 +1000 Subject: [PATCH] =?UTF-8?q?HAProxy:=20git.kalinamall.ru=20=E2=86=92=20192.?= =?UTF-8?q?168.160.129,=20=D0=B4=D0=BE=D1=81=D1=82=D1=83=D0=BF=20=D1=82?= =?UTF-8?q?=D0=BE=D0=BB=D1=8C=D0=BA=D0=BE=20=D1=81=205.100.81.121?= MIME-Version: 1.0 Content-Type: text/plain; charset=UTF-8 Content-Transfer-Encoding: 8bit Made-with: Cursor --- README.md | 7 ++++--- haproxy.cfg | 16 ++++++++++++++-- 2 files changed, 18 insertions(+), 5 deletions(-) diff --git a/README.md b/README.md index f64239e..d1dce01 100644 --- a/README.md +++ b/README.md @@ -1,8 +1,8 @@ # reverse-proxy -Периметровая конфигурация **HAProxy** для сети **kalinamall.ru**: Exchange, RDS (веб/шлюз по HTTPS), 1С, почтовый шлюз KSMG. Прямой RDP (3389) через HAProxy не используется — клиенты идут через RDS на **443** (`rds.kalinamall.ru`). +Периметровая конфигурация **HAProxy** для сети **kalinamall.ru**: Exchange, RDS (веб/шлюз по HTTPS), 1С, Git (`git.kalinamall.ru`, доступ с allowlist IP), почтовый шлюз KSMG. Прямой RDP (3389) через HAProxy не используется — клиенты идут через RDS на **443** (`rds.kalinamall.ru`). -TLS: на целевых серверах используются **wildcard-сертификаты GlobalSign**; HAProxy на **443** работает в режиме **TCP + SNI** и **не терминирует** TLS — сертификаты остаются на бэкендах. +TLS: на целевых серверах в основном **wildcard-сертификаты GlobalSign**; **Git** (`git.kalinamall.ru`) использует **свой** сертификат на **192.168.160.129**. HAProxy на **443** работает в режиме **TCP + SNI** и **не терминирует** TLS — сертификаты остаются на бэкендах. Репозиторий: [https://github.com/PTah/reverse-proxy](https://github.com/PTah/reverse-proxy) @@ -140,8 +140,9 @@ git config --global credential.helper 'cache --timeout=28800' | Autodiscover | `autodiscover.kalinamall.ru` | тот же Exchange — **192.168.160.42** | 443 (TCP/SNI) | | RDS | `rds.kalinamall.ru` (**443** на HAProxy) | k6a-dc3.b26.kalinamall.ru — **192.168.160.40**, служба **4430** | 443 (SNI → внутр. **4430**) | | 1С | `erp.kalinamall.ru` | hp-serv.b26.kalinamall.ru — **192.168.160.150** | 443 | +| Git (HTTPS) | `git.kalinamall.ru` | git.kalinamall.ru — **192.168.160.129** (свой TLS-сертификат; снаружи HAProxy пускает только **5.100.81.121**) | 443 (TCP/SNI) | | Почтовый шлюз (KSMG) | `ksmg.kalinamall.ru` | ksmg.kalinamall.ru — **192.168.160.57** | 25 | -DNS: записи **A** для `ext`, **`autodiscover`**, `rds`, `erp`, `ksmg` должны указывать на **публичный IP** хоста с HAProxy. Имя `autodiscover.kalinamall.ru` должно быть в **SAN** wildcard `*.kalinamall.ru` или отдельно в сертификате на Exchange. +DNS: записи **A** для `ext`, **`autodiscover`**, `rds`, `erp`, **`git`**, `ksmg` должны указывать на **публичный IP** хоста с HAProxy. Имя `autodiscover.kalinamall.ru` должно быть в **SAN** wildcard `*.kalinamall.ru` или отдельно в сертификате на Exchange. Доступ по **SSH** к внутренним хостам (например Ubuntu **192.168.160.85**) в этом репозитории **не** настраивается через HAProxy — организуйте отдельно (прямой проброс, VPN, бастион и т.д.). diff --git a/haproxy.cfg b/haproxy.cfg index 4a1ea35..0d1a58d 100644 --- a/haproxy.cfg +++ b/haproxy.cfg @@ -22,8 +22,8 @@ defaults # ----------------------------------------------------------------------------- # HTTPS (443): маршрутизация по SNI → внутренние серверы с wildcard на 443 -# Клиенты: ext, autodiscover (Exchange) / rds / erp.kalinamall.ru -# Бэкенды: Exchange, RDS, 1С (см. README) +# Клиенты: ext, autodiscover (Exchange) / rds / erp / git.kalinamall.ru (Git — только с allowlist IP) +# Бэкенды: Exchange, RDS, 1С, Git (см. README) # Пути URL ( /owa, /ecp, /ews/, /mapi/ … ) HAProxy не разбирает — они внутри TLS; достаточно SNI ext.kalinamall.ru # ----------------------------------------------------------------------------- @@ -38,14 +38,22 @@ frontend fe_https_sni acl sni_known req_ssl_sni -i autodiscover.kalinamall.ru acl sni_known req_ssl_sni -i rds.kalinamall.ru acl sni_known req_ssl_sni -i erp.kalinamall.ru + acl sni_known req_ssl_sni -i git.kalinamall.ru + + # Git (git.kalinamall.ru → 192.168.160.129): снаружи только с перечисленных IP; на бэкенде свой TLS-сертификат + acl sni_git req_ssl_sni -i git.kalinamall.ru + acl src_git_allowed src 5.100.81.121 + # tcp-request обрабатываются до use_backend — reject ставим ДО use_backend, иначе предупреждение парсера tcp-request content reject if !sni_known + tcp-request content reject if sni_git !src_git_allowed # OWA: https://ext.kalinamall.ru/owa — тот же поток, отдельное правило не требуется use_backend be_exchange if { req_ssl_sni -i ext.kalinamall.ru } use_backend be_exchange if { req_ssl_sni -i autodiscover.kalinamall.ru } use_backend be_rds if { req_ssl_sni -i rds.kalinamall.ru } use_backend be_erp if { req_ssl_sni -i erp.kalinamall.ru } + use_backend be_git if { req_ssl_sni -i git.kalinamall.ru } backend be_exchange # fifth.kalinamall.ru (192.168.160.42) — внешние имена HTTPS: ext.kalinamall.ru, autodiscover.kalinamall.ru @@ -59,6 +67,10 @@ backend be_erp # hp-serv.b26.kalinamall.ru (192.168.160.150) server erp 192.168.160.150:443 check ssl verify none +backend be_git + # git.kalinamall.ru (192.168.160.129) — внешнее имя совпадает; TLS-сертификат выдаёт сам Git-сервер + server git 192.168.160.129:443 check ssl verify none + # ----------------------------------------------------------------------------- # SMTP (25): почтовый шлюз KSMG # Внешнее имя: ksmg.kalinamall.ru