commit 6cd45fbc422d28130fb00dff481ff62e3cec2c55 Author: PTah Date: Sat Apr 11 12:14:18 2026 +1000 HAProxy: perimeter TCP+SNI for kalinamall.ru (Exchange, RDS, 1C, KSMG, RDP, SSH) diff --git a/.gitignore b/.gitignore new file mode 100644 index 0000000..91b186f --- /dev/null +++ b/.gitignore @@ -0,0 +1,5 @@ +# Локальные копии списков с реальными IP (не коммитьте секреты) +trusted/rdp.lst +trusted/ssh.lst +*.pem +*.key diff --git a/README.md b/README.md new file mode 100644 index 0000000..6c972da --- /dev/null +++ b/README.md @@ -0,0 +1,68 @@ +# reverse-proxy + +Периметровая конфигурация **HAProxy** для сети **kalinamall.ru**: Exchange, RDS, 1С, почтовый шлюз KSMG, ограниченный RDP и SSH. + +TLS: на целевых серверах используются **wildcard-сертификаты GlobalSign**; HAProxy на **443** работает в режиме **TCP + SNI** и **не терминирует** TLS — сертификаты остаются на бэкендах. + +## Соответствие имён и адресов + +| Служба | Внешнее имя (клиенты) | Внутренний хост / IP | Порт снаружи | +|--------|------------------------|----------------------|--------------| +| Microsoft Exchange | `ext.kalinamall.ru` | fifth.kalinamall.ru — **192.168.160.42** | 443 (TCP/SNI) | +| RDS | `rds.kalinamall.ru` | k6a-dc3.b26.kalinamall.ru — **192.168.160.40** | 443 | +| 1С | `erp.kalinamall.ru` | hp-serv.b26.kalinamall.ru — **192.168.160.150** | 443 | +| Почтовый шлюз (KSMG) | `ksmg.kalinamall.ru` | ksmg.kalinamall.ru — **192.168.160.57** | 25 | +| RDP | (публичный IP / DNS при необходимости) | itis.b26.kalinamall.ru — **192.168.160.198** | 3389 | +| SSH (Ubuntu) | (публичный IP) | **192.168.160.85** | 22 | + +DNS: записи **A** для `ext`, `rds`, `erp`, `ksmg` (и при необходимости для входа по RDP/SSH) должны указывать на **публичный IP** хоста с HAProxy. + +## Установка + +1. Установите HAProxy **2.4+** (нужны `req_ssl_sni` и `tcp-request content accept` для SNI). + +2. Скопируйте `haproxy.cfg` в `/etc/haproxy/haproxy.cfg`. + +3. Списки доверенных адресов для RDP и SSH: + ```bash + sudo mkdir -p /etc/haproxy/trusted + sudo cp trusted/rdp.lst.example /etc/haproxy/trusted/rdp.lst + sudo cp trusted/ssh.lst.example /etc/haproxy/trusted/ssh.lst + ``` + Отредактируйте `rdp.lst` и `ssh.lst`: укажите свои подсети и IP (по одному адресу или CIDR на строку). Удалите заглушку `127.0.0.1/32`, когда появятся реальные адреса. + +4. Проверка и перезапуск: + ```bash + sudo haproxy -c -f /etc/haproxy/haproxy.cfg + sudo systemctl reload haproxy + ``` + +## Проверка `ssl verify none` на бэкендах + +В `backend` для 443 указано `ssl verify none`, чтобы health-check и при необходимости установка соединения не ломались на внутренних именах/SAN. Если вы выпустите внутренние доверенные CA и зададите их в системе, можно включить проверку (`verify required` + `ca-file`). + +## Порты на фаерволе + +Откройте с интернета только: **25**, **22**, **3389**, **443** (и при использовании — **8404** для stats). Остальной трафик — по политике безопасности. + +## Публикация в GitHub + +Репозиторий: [https://github.com/PTah/reverse-proxy](https://github.com/PTah/reverse-proxy) + +Если репозиторий ещё пустой: + +```bash +cd reverse-proxy +git init +git add . +git commit -m "Initial HAProxy config for kalinamall.ru perimeter" +git branch -M main +git remote add origin https://github.com/PTah/reverse-proxy.git +git push -u origin main +``` + +Требуется [Git](https://git-scm.com/) и доступ к GitHub (Personal Access Token или SSH). + +## Лицензия + +Конфигурация поставляется как есть, без гарантий. Используйте на свой риск. diff --git a/haproxy.cfg b/haproxy.cfg new file mode 100644 index 0000000..9d6c7f0 --- /dev/null +++ b/haproxy.cfg @@ -0,0 +1,103 @@ +# HAProxy — периметровый reverse-proxy для kalinamall.ru +# Режим: TCP + SNI на 443 (TLS end-to-end, сертификаты GlobalSign wildcard на бэкендах) +# +# Проверка синтаксиса: haproxy -c -f haproxy.cfg +# Установка: скопируйте в /etc/haproxy/haproxy.cfg и подставьте пути к trusted/*.lst + +global + log stdout format raw local0 + maxconn 50000 + # Раскомментируйте на Linux с syslog: + # log /dev/log local0 + +defaults + log global + mode tcp + option dontlognull + option tcplog + timeout connect 10s + timeout client 3600s + timeout server 3600s + # Для ActiveSync / больших вложений Exchange при необходимости увеличьте client/server + +# ----------------------------------------------------------------------------- +# HTTPS (443): маршрутизация по SNI → внутренние серверы с wildcard на 443 +# Клиенты: ext / rds / erp.kalinamall.ru +# Бэкенды: Exchange, RDS, 1С (см. README) +# ----------------------------------------------------------------------------- + +frontend fe_https_sni + bind *:443 + mode tcp + tcp-request inspect-delay 5s + tcp-request content accept if { req_ssl_hello_type 1 } + + use_backend be_exchange if { req_ssl_sni -i ext.kalinamall.ru } + use_backend be_rds if { req_ssl_sni -i rds.kalinamall.ru } + use_backend be_erp if { req_ssl_sni -i erp.kalinamall.ru } + + # Неизвестный SNI или отсутствие SNI — разрыв + tcp-request connection reject + +backend be_exchange + # fifth.kalinamall.ru (192.168.160.42) — внешнее имя HTTPS: ext.kalinamall.ru + server exch 192.168.160.42:443 check ssl verify none + +backend be_rds + # k6a-dc3.b26.kalinamall.ru (192.168.160.40) + server rds 192.168.160.40:443 check ssl verify none + +backend be_erp + # hp-serv.b26.kalinamall.ru (192.168.160.150) + server erp 192.168.160.150:443 check ssl verify none + +# ----------------------------------------------------------------------------- +# SMTP (25): почтовый шлюз KSMG +# Внешнее имя: ksmg.kalinamall.ru +# ----------------------------------------------------------------------------- + +frontend fe_smtp + bind *:25 + default_backend be_ksmg_smtp + +backend be_ksmg_smtp + server ksmg 192.168.160.57:25 check + +# ----------------------------------------------------------------------------- +# RDP (3389): itis.b26.kalinamall.ru → 192.168.160.198 +# Доступ только с адресов из trusted/rdp.lst (одна сеть или IP на строку) +# ----------------------------------------------------------------------------- + +frontend fe_rdp + bind *:3389 + acl trusted_rdp src -f /etc/haproxy/trusted/rdp.lst + tcp-request connection reject if !trusted_rdp + default_backend be_rdp + +backend be_rdp + server itis 192.168.160.198:3389 + +# ----------------------------------------------------------------------------- +# SSH (22): Ubuntu → 192.168.160.85 +# Доступ только с адресов из trusted/ssh.lst +# ----------------------------------------------------------------------------- + +frontend fe_ssh + bind *:22 + acl trusted_ssh src -f /etc/haproxy/trusted/ssh.lst + tcp-request connection reject if !trusted_ssh + default_backend be_ssh + +backend be_ssh + server ubuntu 192.168.160.85:22 + +# ----------------------------------------------------------------------------- +# Опционально: статистика (раскомментируйте и задайте пароль) +# ----------------------------------------------------------------------------- +# frontend fe_stats +# bind *:8404 +# mode http +# stats enable +# stats uri /stats +# stats refresh 10s +# stats auth admin:CHANGEME diff --git a/trusted/rdp.lst.example b/trusted/rdp.lst.example new file mode 100644 index 0000000..26fe2b0 --- /dev/null +++ b/trusted/rdp.lst.example @@ -0,0 +1 @@ +127.0.0.1/32 diff --git a/trusted/ssh.lst.example b/trusted/ssh.lst.example new file mode 100644 index 0000000..26fe2b0 --- /dev/null +++ b/trusted/ssh.lst.example @@ -0,0 +1 @@ +127.0.0.1/32