PapaTramp/reverse-proxy
1
0
Fork 0
Code Issues Pull Requests Actions Packages Projects Releases Wiki Activity

HAProxy: sac.kalinamall.ru, allowlist git-sac-allowed и 1c-allowed

Browse Source 
Добавлен SAC (192.168.160.145) с TLS на бэкенде. Git и SAC — IP из git-sac-allowed; 1С (erp) — из 1c-allowed. Обновлены README и docs/haproxy-install.md.
This commit is contained in:
PTah
2026-06-01 12:00:18 +10:00
parent 1314eb8010
commit 6eb396279f
5 changed files with 35 additions and 13 deletions
Download Patch File Download Diff File Expand all files Collapse all files
haproxy.cfg
+18 -7
View File
@@ -3,6 +3,7 @@
#
# Проверка синтаксиса: haproxy -c -f haproxy.cfg
# Установка: скопируйте в /etc/haproxy/haproxy.cfg
# Allowlist: git-sac-allowed, 1c-allowed → /etc/haproxy/
global
log stdout format raw local0
@@ -22,8 +23,8 @@ defaults
# -----------------------------------------------------------------------------
# HTTPS (443): маршрутизация по SNI → внутренние серверы с wildcard на 443
# Клиенты: ext, autodiscover (Exchange) / rds / erp / git.kalinamall.ru (Git — только с allowlist IP)
# Бэкенды: Exchange, RDS, 1С, Git (см. README)
# Клиенты: ext, autodiscover (Exchange) / rds / erp / git / sac
# Git и SAC — allowlist git-sac-allowed; 1С (erp) — allowlist 1c-allowed
# Пути URL ( /owa, /ecp, /ews/, /mapi/ … ) HAProxy не разбирает — они внутри TLS; достаточно SNI ext.kalinamall.ru
# -----------------------------------------------------------------------------
@@ -39,14 +40,19 @@ frontend fe_https_sni
acl sni_known req_ssl_sni -i rds.kalinamall.ru
acl sni_known req_ssl_sni -i erp.kalinamall.ru
acl sni_known req_ssl_sni -i git.kalinamall.ru
acl sni_known req_ssl_sni -i sac.kalinamall.ru
# Git (git.kalinamall.ru → 192.168.160.129): снаружи только с перечисленных IP; на бэкенде свой TLS-сертификат
acl sni_git req_ssl_sni -i git.kalinamall.ru
acl src_git_allowed src 5.100.81.121
acl sni_sac req_ssl_sni -i sac.kalinamall.ru
acl sni_erp req_ssl_sni -i erp.kalinamall.ru
acl src_git_sac_allowed src -f /etc/haproxy/git-sac-allowed
acl src_1c_allowed src -f /etc/haproxy/1c-allowed
# tcp-request обрабатываются до use_backend — reject ставим ДО use_backend, иначе предупреждение парсера
tcp-request content reject if !sni_known
tcp-request content reject if sni_git !src_git_allowed
tcp-request content reject if sni_git !src_git_sac_allowed
tcp-request content reject if sni_sac !src_git_sac_allowed
tcp-request content reject if sni_erp !src_1c_allowed
# OWA: https://ext.kalinamall.ru/owa — тот же поток, отдельное правило не требуется
use_backend be_exchange if { req_ssl_sni -i ext.kalinamall.ru }
@@ -54,6 +60,7 @@ frontend fe_https_sni
use_backend be_rds if { req_ssl_sni -i rds.kalinamall.ru }
use_backend be_erp if { req_ssl_sni -i erp.kalinamall.ru }
use_backend be_git if { req_ssl_sni -i git.kalinamall.ru }
use_backend be_sac if { req_ssl_sni -i sac.kalinamall.ru }
backend be_exchange
# fifth.kalinamall.ru (192.168.160.42) — внешние имена HTTPS: ext.kalinamall.ru, autodiscover.kalinamall.ru
@@ -64,13 +71,17 @@ backend be_rds
server rds 192.168.160.40:4430 check ssl verify none
backend be_erp
# hp-serv.b26.kalinamall.ru (192.168.160.150)
# hp-serv.b26.kalinamall.ru (192.168.160.150) — erp.kalinamall.ru; снаружи только IP из 1c-allowed
server erp 192.168.160.150:443 check ssl verify none
backend be_git
# git.kalinamall.ru (192.168.160.129) — внешнее имя совпадает; TLS-сертификат выдаёт сам Git-сервер
# git.kalinamall.ru (192.168.160.129) — свой TLS-сертификат; снаружи только IP из git-sac-allowed
server git 192.168.160.129:443 check ssl verify none
backend be_sac
# sac.kalinamall.ru (192.168.160.145) — свой TLS-сертификат; снаружи только IP из git-sac-allowed
server sac 192.168.160.145:443 check ssl verify none
# -----------------------------------------------------------------------------
# SMTP (25): почтовый шлюз KSMG
# Внешнее имя: ksmg.kalinamall.ru