HAProxy: perimeter TCP+SNI for kalinamall.ru (Exchange, RDS, 1C, KSMG, RDP, SSH)

.gitignore

@@ -0,0 +1,5 @@
+# Локальные копии списков с реальными IP (не коммитьте секреты)
+trusted/rdp.lst
+trusted/ssh.lst
+*.pem
+*.key

README.md

@@ -0,0 +1,68 @@
+# reverse-proxy
+
+Периметровая конфигурация **HAProxy** для сети **kalinamall.ru**: Exchange, RDS, 1С, почтовый шлюз KSMG, ограниченный RDP и SSH.
+
+TLS: на целевых серверах используются **wildcard-сертификаты GlobalSign**; HAProxy на **443** работает в режиме **TCP + SNI** и **не терминирует** TLS — сертификаты остаются на бэкендах.
+
+## Соответствие имён и адресов
+
+| Служба | Внешнее имя (клиенты) | Внутренний хост / IP | Порт снаружи |
+|--------|------------------------|----------------------|--------------|
+| Microsoft Exchange | `ext.kalinamall.ru` | fifth.kalinamall.ru — **192.168.160.42** | 443 (TCP/SNI) |
+| RDS | `rds.kalinamall.ru` | k6a-dc3.b26.kalinamall.ru — **192.168.160.40** | 443 |
+| 1С | `erp.kalinamall.ru` | hp-serv.b26.kalinamall.ru — **192.168.160.150** | 443 |
+| Почтовый шлюз (KSMG) | `ksmg.kalinamall.ru` | ksmg.kalinamall.ru — **192.168.160.57** | 25 |
+| RDP | (публичный IP / DNS при необходимости) | itis.b26.kalinamall.ru — **192.168.160.198** | 3389 |
+| SSH (Ubuntu) | (публичный IP) | **192.168.160.85** | 22 |
+
+DNS: записи **A** для `ext`, `rds`, `erp`, `ksmg` (и при необходимости для входа по RDP/SSH) должны указывать на **публичный IP** хоста с HAProxy.
+
+## Установка
+
+1. Установите HAProxy **2.4+** (нужны `req_ssl_sni` и `tcp-request content accept` для SNI).
+
+2. Скопируйте `haproxy.cfg` в `/etc/haproxy/haproxy.cfg`.
+
+3. Списки доверенных адресов для RDP и SSH:
+   ```bash
+   sudo mkdir -p /etc/haproxy/trusted
+   sudo cp trusted/rdp.lst.example /etc/haproxy/trusted/rdp.lst
+   sudo cp trusted/ssh.lst.example /etc/haproxy/trusted/ssh.lst
+   ```
+   Отредактируйте `rdp.lst` и `ssh.lst`: укажите свои подсети и IP (по одному адресу или CIDR на строку). Удалите заглушку `127.0.0.1/32`, когда появятся реальные адреса.
+
+4. Проверка и перезапуск:
+   ```bash
+   sudo haproxy -c -f /etc/haproxy/haproxy.cfg
+   sudo systemctl reload haproxy
+   ```
+
+## Проверка `ssl verify none` на бэкендах
+
+В `backend` для 443 указано `ssl verify none`, чтобы health-check и при необходимости установка соединения не ломались на внутренних именах/SAN. Если вы выпустите внутренние доверенные CA и зададите их в системе, можно включить проверку (`verify required` + `ca-file`).
+
+## Порты на фаерволе
+
+Откройте с интернета только: **25**, **22**, **3389**, **443** (и при использовании — **8404** для stats). Остальной трафик — по политике безопасности.
+
+## Публикация в GitHub
+
+Репозиторий: [https://github.com/PTah/reverse-proxy](https://github.com/PTah/reverse-proxy)
+
+Если репозиторий ещё пустой:
+
+```bash
+cd reverse-proxy
+git init
+git add .
+git commit -m "Initial HAProxy config for kalinamall.ru perimeter"
+git branch -M main
+git remote add origin https://github.com/PTah/reverse-proxy.git
+git push -u origin main
+```
+
+Требуется [Git](https://git-scm.com/) и доступ к GitHub (Personal Access Token или SSH).
+
+## Лицензия
+
+Конфигурация поставляется как есть, без гарантий. Используйте на свой риск.

haproxy.cfg

@@ -0,0 +1,103 @@
+# HAProxy — периметровый reverse-proxy для kalinamall.ru
+# Режим: TCP + SNI на 443 (TLS end-to-end, сертификаты GlobalSign wildcard на бэкендах)
+#
+# Проверка синтаксиса: haproxy -c -f haproxy.cfg
+# Установка: скопируйте в /etc/haproxy/haproxy.cfg и подставьте пути к trusted/*.lst
+
+global
+    log stdout format raw local0
+    maxconn 50000
+    # Раскомментируйте на Linux с syslog:
+    # log /dev/log local0
+
+defaults
+    log     global
+    mode    tcp
+    option  dontlognull
+    option  tcplog
+    timeout connect 10s
+    timeout client  3600s
+    timeout server  3600s
+    # Для ActiveSync / больших вложений Exchange при необходимости увеличьте client/server
+
+# -----------------------------------------------------------------------------
+# HTTPS (443): маршрутизация по SNI → внутренние серверы с wildcard на 443
+# Клиенты: ext / rds / erp.kalinamall.ru
+# Бэкенды: Exchange, RDS, 1С (см. README)
+# -----------------------------------------------------------------------------
+
+frontend fe_https_sni
+    bind *:443
+    mode tcp
+    tcp-request inspect-delay 5s
+    tcp-request content accept if { req_ssl_hello_type 1 }
+
+    use_backend be_exchange if { req_ssl_sni -i ext.kalinamall.ru }
+    use_backend be_rds      if { req_ssl_sni -i rds.kalinamall.ru }
+    use_backend be_erp      if { req_ssl_sni -i erp.kalinamall.ru }
+
+    # Неизвестный SNI или отсутствие SNI — разрыв
+    tcp-request connection reject
+
+backend be_exchange
+    # fifth.kalinamall.ru (192.168.160.42) — внешнее имя HTTPS: ext.kalinamall.ru
+    server exch 192.168.160.42:443 check ssl verify none
+
+backend be_rds
+    # k6a-dc3.b26.kalinamall.ru (192.168.160.40)
+    server rds 192.168.160.40:443 check ssl verify none
+
+backend be_erp
+    # hp-serv.b26.kalinamall.ru (192.168.160.150)
+    server erp 192.168.160.150:443 check ssl verify none
+
+# -----------------------------------------------------------------------------
+# SMTP (25): почтовый шлюз KSMG
+# Внешнее имя: ksmg.kalinamall.ru
+# -----------------------------------------------------------------------------
+
+frontend fe_smtp
+    bind *:25
+    default_backend be_ksmg_smtp
+
+backend be_ksmg_smtp
+    server ksmg 192.168.160.57:25 check
+
+# -----------------------------------------------------------------------------
+# RDP (3389): itis.b26.kalinamall.ru → 192.168.160.198
+# Доступ только с адресов из trusted/rdp.lst (одна сеть или IP на строку)
+# -----------------------------------------------------------------------------
+
+frontend fe_rdp
+    bind *:3389
+    acl trusted_rdp src -f /etc/haproxy/trusted/rdp.lst
+    tcp-request connection reject if !trusted_rdp
+    default_backend be_rdp
+
+backend be_rdp
+    server itis 192.168.160.198:3389
+
+# -----------------------------------------------------------------------------
+# SSH (22): Ubuntu → 192.168.160.85
+# Доступ только с адресов из trusted/ssh.lst
+# -----------------------------------------------------------------------------
+
+frontend fe_ssh
+    bind *:22
+    acl trusted_ssh src -f /etc/haproxy/trusted/ssh.lst
+    tcp-request connection reject if !trusted_ssh
+    default_backend be_ssh
+
+backend be_ssh
+    server ubuntu 192.168.160.85:22
+
+# -----------------------------------------------------------------------------
+# Опционально: статистика (раскомментируйте и задайте пароль)
+# -----------------------------------------------------------------------------
+# frontend fe_stats
+#     bind *:8404
+#     mode http
+#     stats enable
+#     stats uri /stats
+#     stats refresh 10s
+#     stats auth admin:CHANGEME

trusted/rdp.lst.example

@@ -0,0 +1 @@
+127.0.0.1/32

trusted/ssh.lst.example

@@ -0,0 +1 @@
+127.0.0.1/32