diff --git a/1c-allowed b/1c-allowed new file mode 100644 index 0000000..61b34f2 --- /dev/null +++ b/1c-allowed @@ -0,0 +1,4 @@ +5.100.81.121 +109.109.217.150 +109.110.54.2 +212.19.6.53 diff --git a/README.md b/README.md index 03c4046..b16ed9e 100644 --- a/README.md +++ b/README.md @@ -1,8 +1,10 @@ # reverse-proxy -Периметровая конфигурация **HAProxy** для сети **kalinamall.ru**: Exchange, RDS (веб/шлюз по HTTPS), 1С, Git (`git.kalinamall.ru`, доступ с allowlist IP), почтовый шлюз KSMG. Прямой RDP (3389) через HAProxy не используется — клиенты идут через RDS на **443** (`rds.kalinamall.ru`). +Периметровая конфигурация **HAProxy** для сети **kalinamall.ru**: Exchange, RDS (веб/шлюз по HTTPS), 1С, Git, SAC, почтовый шлюз KSMG. Прямой RDP (3389) через HAProxy не используется — клиенты идут через RDS на **443** (`rds.kalinamall.ru`). -TLS: на целевых серверах в основном **wildcard-сертификаты GlobalSign**; **Git** (`git.kalinamall.ru`) использует **свой** сертификат на **192.168.160.129**. HAProxy на **443** работает в режиме **TCP + SNI** и **не терминирует** TLS — сертификаты остаются на бэкендах. +TLS: на целевых серверах в основном **wildcard-сертификаты GlobalSign**; **Git** (`git.kalinamall.ru`) и **SAC** (`sac.kalinamall.ru`) используют **свои** сертификаты на **192.168.160.129** и **192.168.160.145**. HAProxy на **443** работает в режиме **TCP + SNI** и **не терминирует** TLS — сертификаты остаются на бэкендах. + +Доступ снаружи по allowlist: **Git** и **SAC** — файл `git-sac-allowed`; **1С** (`erp.kalinamall.ru`) — файл `1c-allowed`. Репозиторий: [https://git.kalinamall.ru/PapaTramp/reverse-proxy](https://git.kalinamall.ru/PapaTramp/reverse-proxy) @@ -13,11 +15,12 @@ TLS: на целевых серверах в основном **wildcard-сер | Microsoft Exchange (OWA `https://ext.kalinamall.ru/owa`, EWS, MAPI/HTTPS и т.д.) | `ext.kalinamall.ru` | fifth.kalinamall.ru — **192.168.160.42** | 443 (TCP/SNI) | | Autodiscover | `autodiscover.kalinamall.ru` | тот же Exchange — **192.168.160.42** | 443 (TCP/SNI) | | RDS | `rds.kalinamall.ru` (**443** на HAProxy) | k6a-dc3.b26.kalinamall.ru — **192.168.160.40**, служба **4430** | 443 (SNI → внутр. **4430**) | -| 1С | `erp.kalinamall.ru` | hp-serv.b26.kalinamall.ru — **192.168.160.150** | 443 | -| Git (HTTPS) | `git.kalinamall.ru` | git.kalinamall.ru — **192.168.160.129** (свой TLS-сертификат; снаружи HAProxy пускает только **5.100.81.121**) | 443 (TCP/SNI) | +| 1С | `erp.kalinamall.ru` | hp-serv.b26.kalinamall.ru — **192.168.160.150** | 443 (снаружи только IP из **`1c-allowed`**) | +| Git (HTTPS) | `git.kalinamall.ru` | git.kalinamall.ru — **192.168.160.129** (свой TLS-сертификат; снаружи только IP из **`git-sac-allowed`**) | 443 (TCP/SNI) | +| SAC | `sac.kalinamall.ru` | sac.kalinamall.ru — **192.168.160.145** (свой TLS-сертификат; снаружи только IP из **`git-sac-allowed`**) | 443 (TCP/SNI) | | Почтовый шлюз (KSMG) | `ksmg.kalinamall.ru` | ksmg.kalinamall.ru — **192.168.160.57** | 25 | -DNS: записи **A** для `ext`, **`autodiscover`**, `rds`, `erp`, **`git`**, `ksmg` должны указывать на **публичный IP** хоста с HAProxy. Имя `autodiscover.kalinamall.ru` должно быть в **SAN** wildcard `*.kalinamall.ru` или отдельно в сертификате на Exchange. +DNS: записи **A** для `ext`, **`autodiscover`**, `rds`, `erp`, **`git`**, **`sac`**, `ksmg` должны указывать на **публичный IP** хоста с HAProxy. Имя `autodiscover.kalinamall.ru` должно быть в **SAN** wildcard `*.kalinamall.ru` или отдельно в сертификате на Exchange. Доступ по **SSH** к внутренним хостам (например Ubuntu **192.168.160.85**) в этом репозитории **не** настраивается через HAProxy — организуйте отдельно (прямой проброс, VPN, бастион и т.д.). diff --git a/docs/haproxy-install.md b/docs/haproxy-install.md index 28f4cd5..79e43ac 100644 --- a/docs/haproxy-install.md +++ b/docs/haproxy-install.md @@ -40,10 +40,11 @@ sudo haproxy -c -f /etc/haproxy/haproxy.cfg 1. Убедитесь, что установлен HAProxy **2.4+** (см. разделы выше). -2. Скопируйте `haproxy.cfg` в `/etc/haproxy/haproxy.cfg`. Пример, если репозиторий лежит в домашнем каталоге: +2. Скопируйте `haproxy.cfg` и файлы allowlist в `/etc/haproxy/`. Пример, если репозиторий лежит в домашнем каталоге: ```bash sudo cp ~/reverse-proxy/haproxy.cfg /etc/haproxy/haproxy.cfg + sudo cp ~/reverse-proxy/git-sac-allowed ~/reverse-proxy/1c-allowed /etc/haproxy/ ``` 3. Проверка и перезапуск: diff --git a/git-sac-allowed b/git-sac-allowed new file mode 100644 index 0000000..8027056 --- /dev/null +++ b/git-sac-allowed @@ -0,0 +1,3 @@ +5.100.81.121 +109.109.217.150 +109.110.54.2 diff --git a/haproxy.cfg b/haproxy.cfg index 0d1a58d..c31d217 100644 --- a/haproxy.cfg +++ b/haproxy.cfg @@ -3,6 +3,7 @@ # # Проверка синтаксиса: haproxy -c -f haproxy.cfg # Установка: скопируйте в /etc/haproxy/haproxy.cfg +# Allowlist: git-sac-allowed, 1c-allowed → /etc/haproxy/ global log stdout format raw local0 @@ -22,8 +23,8 @@ defaults # ----------------------------------------------------------------------------- # HTTPS (443): маршрутизация по SNI → внутренние серверы с wildcard на 443 -# Клиенты: ext, autodiscover (Exchange) / rds / erp / git.kalinamall.ru (Git — только с allowlist IP) -# Бэкенды: Exchange, RDS, 1С, Git (см. README) +# Клиенты: ext, autodiscover (Exchange) / rds / erp / git / sac +# Git и SAC — allowlist git-sac-allowed; 1С (erp) — allowlist 1c-allowed # Пути URL ( /owa, /ecp, /ews/, /mapi/ … ) HAProxy не разбирает — они внутри TLS; достаточно SNI ext.kalinamall.ru # ----------------------------------------------------------------------------- @@ -39,14 +40,19 @@ frontend fe_https_sni acl sni_known req_ssl_sni -i rds.kalinamall.ru acl sni_known req_ssl_sni -i erp.kalinamall.ru acl sni_known req_ssl_sni -i git.kalinamall.ru + acl sni_known req_ssl_sni -i sac.kalinamall.ru - # Git (git.kalinamall.ru → 192.168.160.129): снаружи только с перечисленных IP; на бэкенде свой TLS-сертификат acl sni_git req_ssl_sni -i git.kalinamall.ru - acl src_git_allowed src 5.100.81.121 + acl sni_sac req_ssl_sni -i sac.kalinamall.ru + acl sni_erp req_ssl_sni -i erp.kalinamall.ru + acl src_git_sac_allowed src -f /etc/haproxy/git-sac-allowed + acl src_1c_allowed src -f /etc/haproxy/1c-allowed # tcp-request обрабатываются до use_backend — reject ставим ДО use_backend, иначе предупреждение парсера tcp-request content reject if !sni_known - tcp-request content reject if sni_git !src_git_allowed + tcp-request content reject if sni_git !src_git_sac_allowed + tcp-request content reject if sni_sac !src_git_sac_allowed + tcp-request content reject if sni_erp !src_1c_allowed # OWA: https://ext.kalinamall.ru/owa — тот же поток, отдельное правило не требуется use_backend be_exchange if { req_ssl_sni -i ext.kalinamall.ru } @@ -54,6 +60,7 @@ frontend fe_https_sni use_backend be_rds if { req_ssl_sni -i rds.kalinamall.ru } use_backend be_erp if { req_ssl_sni -i erp.kalinamall.ru } use_backend be_git if { req_ssl_sni -i git.kalinamall.ru } + use_backend be_sac if { req_ssl_sni -i sac.kalinamall.ru } backend be_exchange # fifth.kalinamall.ru (192.168.160.42) — внешние имена HTTPS: ext.kalinamall.ru, autodiscover.kalinamall.ru @@ -64,13 +71,17 @@ backend be_rds server rds 192.168.160.40:4430 check ssl verify none backend be_erp - # hp-serv.b26.kalinamall.ru (192.168.160.150) + # hp-serv.b26.kalinamall.ru (192.168.160.150) — erp.kalinamall.ru; снаружи только IP из 1c-allowed server erp 192.168.160.150:443 check ssl verify none backend be_git - # git.kalinamall.ru (192.168.160.129) — внешнее имя совпадает; TLS-сертификат выдаёт сам Git-сервер + # git.kalinamall.ru (192.168.160.129) — свой TLS-сертификат; снаружи только IP из git-sac-allowed server git 192.168.160.129:443 check ssl verify none +backend be_sac + # sac.kalinamall.ru (192.168.160.145) — свой TLS-сертификат; снаружи только IP из git-sac-allowed + server sac 192.168.160.145:443 check ssl verify none + # ----------------------------------------------------------------------------- # SMTP (25): почтовый шлюз KSMG # Внешнее имя: ksmg.kalinamall.ru