HAProxy: perimeter TCP+SNI for kalinamall.ru (Exchange, RDS, 1C, KSMG, RDP, SSH)
This commit is contained in:
PTah
@@ -0,0 +1,5 @@
|
||||
# Локальные копии списков с реальными IP (не коммитьте секреты)
|
||||
trusted/rdp.lst
|
||||
trusted/ssh.lst
|
||||
*.pem
|
||||
*.key
|
||||
@@ -0,0 +1,68 @@
|
||||
# reverse-proxy
|
||||
|
||||
Периметровая конфигурация **HAProxy** для сети **kalinamall.ru**: Exchange, RDS, 1С, почтовый шлюз KSMG, ограниченный RDP и SSH.
|
||||
|
||||
TLS: на целевых серверах используются **wildcard-сертификаты GlobalSign**; HAProxy на **443** работает в режиме **TCP + SNI** и **не терминирует** TLS — сертификаты остаются на бэкендах.
|
||||
|
||||
## Соответствие имён и адресов
|
||||
|
||||
| Служба | Внешнее имя (клиенты) | Внутренний хост / IP | Порт снаружи |
|
||||
|--------|------------------------|----------------------|--------------|
|
||||
| Microsoft Exchange | `ext.kalinamall.ru` | fifth.kalinamall.ru — **192.168.160.42** | 443 (TCP/SNI) |
|
||||
| RDS | `rds.kalinamall.ru` | k6a-dc3.b26.kalinamall.ru — **192.168.160.40** | 443 |
|
||||
| 1С | `erp.kalinamall.ru` | hp-serv.b26.kalinamall.ru — **192.168.160.150** | 443 |
|
||||
| Почтовый шлюз (KSMG) | `ksmg.kalinamall.ru` | ksmg.kalinamall.ru — **192.168.160.57** | 25 |
|
||||
| RDP | (публичный IP / DNS при необходимости) | itis.b26.kalinamall.ru — **192.168.160.198** | 3389 |
|
||||
| SSH (Ubuntu) | (публичный IP) | **192.168.160.85** | 22 |
|
||||
|
||||
DNS: записи **A** для `ext`, `rds`, `erp`, `ksmg` (и при необходимости для входа по RDP/SSH) должны указывать на **публичный IP** хоста с HAProxy.
|
||||
|
||||
## Установка
|
||||
|
||||
1. Установите HAProxy **2.4+** (нужны `req_ssl_sni` и `tcp-request content accept` для SNI).
|
||||
|
||||
2. Скопируйте `haproxy.cfg` в `/etc/haproxy/haproxy.cfg`.
|
||||
|
||||
3. Списки доверенных адресов для RDP и SSH:
|
||||
```bash
|
||||
sudo mkdir -p /etc/haproxy/trusted
|
||||
sudo cp trusted/rdp.lst.example /etc/haproxy/trusted/rdp.lst
|
||||
sudo cp trusted/ssh.lst.example /etc/haproxy/trusted/ssh.lst
|
||||
```
|
||||
Отредактируйте `rdp.lst` и `ssh.lst`: укажите свои подсети и IP (по одному адресу или CIDR на строку). Удалите заглушку `127.0.0.1/32`, когда появятся реальные адреса.
|
||||
|
||||
4. Проверка и перезапуск:
|
||||
```bash
|
||||
sudo haproxy -c -f /etc/haproxy/haproxy.cfg
|
||||
sudo systemctl reload haproxy
|
||||
```
|
||||
|
||||
## Проверка `ssl verify none` на бэкендах
|
||||
|
||||
В `backend` для 443 указано `ssl verify none`, чтобы health-check и при необходимости установка соединения не ломались на внутренних именах/SAN. Если вы выпустите внутренние доверенные CA и зададите их в системе, можно включить проверку (`verify required` + `ca-file`).
|
||||
|
||||
## Порты на фаерволе
|
||||
|
||||
Откройте с интернета только: **25**, **22**, **3389**, **443** (и при использовании — **8404** для stats). Остальной трафик — по политике безопасности.
|
||||
|
||||
## Публикация в GitHub
|
||||
|
||||
Репозиторий: [https://github.com/PTah/reverse-proxy](https://github.com/PTah/reverse-proxy)
|
||||
|
||||
Если репозиторий ещё пустой:
|
||||
|
||||
```bash
|
||||
cd reverse-proxy
|
||||
git init
|
||||
git add .
|
||||
git commit -m "Initial HAProxy config for kalinamall.ru perimeter"
|
||||
git branch -M main
|
||||
git remote add origin https://github.com/PTah/reverse-proxy.git
|
||||
git push -u origin main
|
||||
```
|
||||
|
||||
Требуется [Git](https://git-scm.com/) и доступ к GitHub (Personal Access Token или SSH).
|
||||
|
||||
## Лицензия
|
||||
|
||||
Конфигурация поставляется как есть, без гарантий. Используйте на свой риск.
|
||||
+103
@@ -0,0 +1,103 @@
|
||||
# HAProxy — периметровый reverse-proxy для kalinamall.ru
|
||||
# Режим: TCP + SNI на 443 (TLS end-to-end, сертификаты GlobalSign wildcard на бэкендах)
|
||||
#
|
||||
# Проверка синтаксиса: haproxy -c -f haproxy.cfg
|
||||
# Установка: скопируйте в /etc/haproxy/haproxy.cfg и подставьте пути к trusted/*.lst
|
||||
|
||||
global
|
||||
log stdout format raw local0
|
||||
maxconn 50000
|
||||
# Раскомментируйте на Linux с syslog:
|
||||
# log /dev/log local0
|
||||
|
||||
defaults
|
||||
log global
|
||||
mode tcp
|
||||
option dontlognull
|
||||
option tcplog
|
||||
timeout connect 10s
|
||||
timeout client 3600s
|
||||
timeout server 3600s
|
||||
# Для ActiveSync / больших вложений Exchange при необходимости увеличьте client/server
|
||||
|
||||
# -----------------------------------------------------------------------------
|
||||
# HTTPS (443): маршрутизация по SNI → внутренние серверы с wildcard на 443
|
||||
# Клиенты: ext / rds / erp.kalinamall.ru
|
||||
# Бэкенды: Exchange, RDS, 1С (см. README)
|
||||
# -----------------------------------------------------------------------------
|
||||
|
||||
frontend fe_https_sni
|
||||
bind *:443
|
||||
mode tcp
|
||||
tcp-request inspect-delay 5s
|
||||
tcp-request content accept if { req_ssl_hello_type 1 }
|
||||
|
||||
use_backend be_exchange if { req_ssl_sni -i ext.kalinamall.ru }
|
||||
use_backend be_rds if { req_ssl_sni -i rds.kalinamall.ru }
|
||||
use_backend be_erp if { req_ssl_sni -i erp.kalinamall.ru }
|
||||
|
||||
# Неизвестный SNI или отсутствие SNI — разрыв
|
||||
tcp-request connection reject
|
||||
|
||||
backend be_exchange
|
||||
# fifth.kalinamall.ru (192.168.160.42) — внешнее имя HTTPS: ext.kalinamall.ru
|
||||
server exch 192.168.160.42:443 check ssl verify none
|
||||
|
||||
backend be_rds
|
||||
# k6a-dc3.b26.kalinamall.ru (192.168.160.40)
|
||||
server rds 192.168.160.40:443 check ssl verify none
|
||||
|
||||
backend be_erp
|
||||
# hp-serv.b26.kalinamall.ru (192.168.160.150)
|
||||
server erp 192.168.160.150:443 check ssl verify none
|
||||
|
||||
# -----------------------------------------------------------------------------
|
||||
# SMTP (25): почтовый шлюз KSMG
|
||||
# Внешнее имя: ksmg.kalinamall.ru
|
||||
# -----------------------------------------------------------------------------
|
||||
|
||||
frontend fe_smtp
|
||||
bind *:25
|
||||
default_backend be_ksmg_smtp
|
||||
|
||||
backend be_ksmg_smtp
|
||||
server ksmg 192.168.160.57:25 check
|
||||
|
||||
# -----------------------------------------------------------------------------
|
||||
# RDP (3389): itis.b26.kalinamall.ru → 192.168.160.198
|
||||
# Доступ только с адресов из trusted/rdp.lst (одна сеть или IP на строку)
|
||||
# -----------------------------------------------------------------------------
|
||||
|
||||
frontend fe_rdp
|
||||
bind *:3389
|
||||
acl trusted_rdp src -f /etc/haproxy/trusted/rdp.lst
|
||||
tcp-request connection reject if !trusted_rdp
|
||||
default_backend be_rdp
|
||||
|
||||
backend be_rdp
|
||||
server itis 192.168.160.198:3389
|
||||
|
||||
# -----------------------------------------------------------------------------
|
||||
# SSH (22): Ubuntu → 192.168.160.85
|
||||
# Доступ только с адресов из trusted/ssh.lst
|
||||
# -----------------------------------------------------------------------------
|
||||
|
||||
frontend fe_ssh
|
||||
bind *:22
|
||||
acl trusted_ssh src -f /etc/haproxy/trusted/ssh.lst
|
||||
tcp-request connection reject if !trusted_ssh
|
||||
default_backend be_ssh
|
||||
|
||||
backend be_ssh
|
||||
server ubuntu 192.168.160.85:22
|
||||
|
||||
# -----------------------------------------------------------------------------
|
||||
# Опционально: статистика (раскомментируйте и задайте пароль)
|
||||
# -----------------------------------------------------------------------------
|
||||
# frontend fe_stats
|
||||
# bind *:8404
|
||||
# mode http
|
||||
# stats enable
|
||||
# stats uri /stats
|
||||
# stats refresh 10s
|
||||
# stats auth admin:CHANGEME
|
||||
@@ -0,0 +1 @@
|
||||
127.0.0.1/32
|
||||
@@ -0,0 +1 @@
|
||||
127.0.0.1/32
|
||||
Reference in New Issue
Block a user