feat(haproxy): allowlist rds-allowed для RDS из ipdeny RU (0.7.5).

haproxy.cfg

@@ -1,11 +1,12 @@
 # HAProxy — периметровый reverse-proxy для kalinamall.ru
-# Config version: 0.7.4
+# Config version: 0.7.5
 # Режим: TCP + SNI на 443 (TLS end-to-end, сертификаты на бэкендах)
 # HTTP на 80: zabbix.kalinamall.ru → 192.168.160.53 (allowlist zabbix-allowed)
 #
 # Проверка синтаксиса: haproxy -c -f haproxy.cfg
 # Установка: скопируйте в /etc/haproxy/haproxy.cfg
-# Allowlist: git-sac-allowed, 1c-allowed, zabbix-allowed, syno-allowed → /etc/haproxy/
+# Allowlist: git-sac-allowed, 1c-allowed, zabbix-allowed, syno-allowed, rds-allowed → /etc/haproxy/
+# rds-allowed: ежедневно scripts/haproxy-rds-allowed-deploy.sh (ipdeny RU + rds-allowed-static)
 # sac-api.kalinamall.ru — без IP-фильтра (Seaca с любого адреса, auth на SAC)
 
 global
@@ -28,6 +29,7 @@ defaults
 # HTTPS (443): маршрутизация по SNI → внутренние серверы
 # ext, autodiscover (Exchange) / rds / erp / git / sac / sac-api / heap, exchange (Synology)
 # Git и sac.kalinamall.ru (веб) — allowlist git-sac-allowed
+# rds.kalinamall.ru — allowlist rds-allowed (RU ipdeny + static)
 # heap.kalinamall.ru, exchange.kalinamall.ru (Synology DSM) — syno-allowed
 # sac-api.kalinamall.ru (мобильное API) — без allowlist
 # См. docs/sac-access.md — connection coalescing (git + sac на одном IP)
@@ -52,10 +54,12 @@ frontend fe_https_sni
 
     acl sni_git req_ssl_sni -i git.kalinamall.ru
     acl sni_sac_web req_ssl_sni -i sac.kalinamall.ru
+    acl sni_rds req_ssl_sni -i rds.kalinamall.ru
     acl sni_erp req_ssl_sni -i erp.kalinamall.ru
     acl sni_syno req_ssl_sni -i heap.kalinamall.ru
     acl sni_syno req_ssl_sni -i exchange.kalinamall.ru
     acl src_git_sac_allowed src -f /etc/haproxy/git-sac-allowed
+    acl src_rds_allowed src -f /etc/haproxy/rds-allowed
     acl src_1c_allowed src -f /etc/haproxy/1c-allowed
     acl src_syno_allowed src -f /etc/haproxy/syno-allowed
 
@@ -63,6 +67,7 @@ frontend fe_https_sni
     tcp-request content reject if !sni_known
     tcp-request content reject if sni_git !src_git_sac_allowed
     tcp-request content reject if sni_sac_web !src_git_sac_allowed
+    tcp-request content reject if sni_rds !src_rds_allowed
     tcp-request content reject if sni_erp !src_1c_allowed
     tcp-request content reject if sni_syno !src_syno_allowed
 
@@ -81,7 +86,7 @@ backend be_exchange
     server exch 192.168.160.42:443 check check-ssl check-sni ext.kalinamall.ru verify none
 
 backend be_rds
-    # k6a-dc3.b26.kalinamall.ru (192.168.160.40), TLS на 4430
+    # k6a-dc3.b26.kalinamall.ru (192.168.160.40), TLS на 4430; снаружи только IP из rds-allowed
     server rds 192.168.160.40:4430 check check-ssl check-sni rds.kalinamall.ru verify none
 
 backend be_erp