docs(security): план UFW, hardening HAProxy и бэкендов, скрипты deploy.

2026-06-13 21:27:49 +10:00
parent f26d52b3b4
commit 787671f9ca
13 changed files with 679 additions and 0 deletions
@@ -0,0 +1,44 @@
+# Чеклист после внедрения защиты
+
+## HAProxy (192.168.160.117)
+
+- [ ] `ufw status verbose` — active; есть 22 из admin, 25/80/443 open
+- [ ] SSH с admin-IP работает; с random IP — **нет** (или только ключ + fail2ban)
+- [ ] `ss -tlnp` — нет лишних listen (8404, 3000, …)
+- [ ] `haproxy -c -f /etc/haproxy/haproxy.cfg` — OK
+- [ ] С allowlist IP: git, rds, zabbix, erp, syno — **OK**
+- [ ] С чужого IP: git/rds/erp — **reject** (нет TCP reset или обрыв на ACL)
+- [ ] `fail2ban-client status sshd` — active
+- [ ] Логи: `grep -E 'SC|NOSRV|reject' /var/log/haproxy.log | tail`
+
+## MikroTik / периметр
+
+- [ ] С интернета на публичный IP: открыты только **25, 80, 443**
+- [ ] Нет DNAT 3389, 5001, 4430 на внутренние хосты
+- [ ] HAProxy health-check не блокируется
+
+## Бэкенды (каждый)
+
+- [ ] UFW/firewall active
+- [ ] С `.117` на сервисный порт — OK
+- [ ] С другого LAN IP на сервисный порт — **closed** (если так задумано)
+- [ ] HAProxy backend **UP** в stats/log
+- [ ] Прикладной smoke-test (OWA, RD Web, Gitea login, …)
+
+## KSMG (.57)
+
+- [ ] Почта inbound через HAProxy:25 — OK
+- [ ] Прямые отправители (если есть) — в `EXTRA_ALLOWED`
+
+## Документация и runbook
+
+- [ ] `/etc/haproxy/security/*.env` — backup в password store
+- [ ] Откат UFW: `ufw disable` + процедура задокументирована
+- [ ] Ответственный и дата внедрения фикс
+
+## Регулярно (ежемесячно)
+
+- [ ] `apt upgrade` на HAProxy
+- [ ] Проверка актуальности allowlist / `rds-allowed` cron
+- [ ] Review fail2ban / auth.log
+- [ ] Тест restore конфига из git