docs(security): план UFW, hardening HAProxy и бэкендов, скрипты deploy.

2026-06-13 21:27:49 +10:00
parent f26d52b3b4
commit 787671f9ca
13 changed files with 679 additions and 0 deletions
@@ -0,0 +1,138 @@
+# Hardening хоста HAProxy
+
+Хост: **haproxy.kalinamall.ru**, **192.168.160.117**, Ubuntu 24.04, HAProxy 2.8.x.
+
+## Слушающие порты (prod)
+
+| Порт | Frontend | Назначение |
+|------|----------|------------|
+| 22 | sshd | Администрирование (не в haproxy.cfg) |
+| 25 | fe_smtp | SMTP → KSMG |
+| 80 | fe_http_zabbix | HTTP Zabbix |
+| 443 | fe_https_sni | TLS passthrough по SNI |
+
+Не включать **8404/stats** на `0.0.0.0` без VPN и пароля.
+
+## UFW
+
+Скрипт: [haproxy-ufw-apply.sh](../../scripts/security/haproxy-ufw-apply.sh).
+
+Политика:
+
+```
+default incoming: deny
+default outgoing: allow
+allow 22/tcp from SSH_ALLOWED
+allow 25, 80, 443/tcp from anywhere   # сервисы периметра
+```
+
+**SSH_ALLOWED** — несколько CIDR/ IP через пробел в env. Минимум:
+
+- подсеть админов / VPN;
+- LAN `192.168.160.0/24` (если SSH только изнутри);
+- **не** `0.0.0.0/0` без крайней необходимости.
+
+Перед `--apply` обязательно dry-run и **вторая SSH-сессия**.
+
+## SSH
+
+Пример drop-in `/etc/ssh/sshd_config.d/99-hardening.conf`:
+
+```
+PermitRootLogin no
+PasswordAuthentication no
+KbdInteractiveAuthentication no
+PubkeyAuthentication yes
+MaxAuthTries 3
+AllowUsers papatramp
+```
+
+После правок: `sshd -t && systemctl reload sshd`.
+
+## fail2ban
+
+```bash
+sudo apt install -y fail2ban
+```
+
+`/etc/fail2ban/jail.d/sshd.local`:
+
+```ini
+[sshd]
+enabled = true
+port = ssh
+filter = sshd
+logpath = /var/log/auth.log
+maxretry = 5
+findtime = 600
+bantime = 3600
+```
+
+`systemctl enable --now fail2ban`, проверка: `fail2ban-client status sshd`.
+
+## HAProxy
+
+### Уже в конфиге
+
+- Reject неизвестного SNI.
+- Allowlist по сервисам.
+- Длинные timeout для RDP/Exchange — осознанно; не занижать без теста.
+
+### Рекомендуется добавить (отдельный PR / окно)
+
+1. **Лимит соединений** (global уже `maxconn 50000`; при атаке снизить или ограничить на frontend):
+
+   ```
+   # frontend fe_https_sni
+   # maxconn 10000
+   ```
+
+2. **Exchange / sac-api без allowlist** — рассмотреть:
+   - отдельный allowlist;
+   - или `tcp-request content reject` при превышении conn rate (HAProxy 2.8+: stick-table / sc1 — сложнее в TCP+SNI).
+
+3. **Логирование отказов** — grep `SC` / `<NOSRV>` / короткие сессии в SIEM.
+
+4. **`ssl verify required`** на бэкендах после выпуска внутренней CA.
+
+### systemd
+
+```bash
+systemctl enable haproxy
+# после reload: systemctl status haproxy
+```
+
+## sysctl (опционально)
+
+`/etc/sysctl.d/99-haproxy-security.conf`:
+
+```
+net.ipv4.tcp_syncookies = 1
+net.ipv4.conf.all.rp_filter = 1
+net.ipv4.conf.default.rp_filter = 1
+net.ipv4.icmp_echo_ignore_broadcasts = 1
+```
+
+`sysctl --system`
+
+## Обновления
+
+```bash
+sudo apt install -y unattended-upgrades
+sudo dpkg-reconfigure -plow unattended-upgrades
+```
+
+Исключить автоперезапуск HAProxy в неудобное окно — настроить `Unattended-Upgrade::Automatic-Reboot` по политике.
+
+## Права и секреты
+
+- Allowlist и `haproxy.cfg` — root, без world-readable секретов (в репо секретов нет).
+- `/etc/haproxy/security/` — `0750 root:root`.
+- Не коммитить `haproxy-ufw.env` с реальными IP в публичный GitHub (в kalinamall — по политике repo).
+
+## Мониторинг
+
+- HAProxy backend **DOWN** / **L4CON**.
+- Рост отклонённых TCP (`SC`, reject по ACL).
+- `ufw status numbered`, диск под логами.
+- fail2ban bans.