diff --git a/README.md b/README.md index b16ed9e..b3f7697 100644 --- a/README.md +++ b/README.md @@ -2,32 +2,32 @@ Периметровая конфигурация **HAProxy** для сети **kalinamall.ru**: Exchange, RDS (веб/шлюз по HTTPS), 1С, Git, SAC, почтовый шлюз KSMG. Прямой RDP (3389) через HAProxy не используется — клиенты идут через RDS на **443** (`rds.kalinamall.ru`). -TLS: на целевых серверах в основном **wildcard-сертификаты GlobalSign**; **Git** (`git.kalinamall.ru`) и **SAC** (`sac.kalinamall.ru`) используют **свои** сертификаты на **192.168.160.129** и **192.168.160.145**. HAProxy на **443** работает в режиме **TCP + SNI** и **не терминирует** TLS — сертификаты остаются на бэкендах. +TLS: HAProxy на **443** в режиме **TCP + SNI**, **не терминирует** TLS — сертификаты на бэкендах. -Доступ снаружи по allowlist: **Git** и **SAC** — файл `git-sac-allowed`; **1С** (`erp.kalinamall.ru`) — файл `1c-allowed`. +Доступ снаружи по allowlist: **Git** и **веб-SAC** (`sac.kalinamall.ru`) — файл `git-sac-allowed`; **1С** (`erp.kalinamall.ru`) — `1c-allowed`. **Seaca** — **`sac-api.kalinamall.ru`** без IP-фильтра (аутентификация на SAC). Репозиторий: [https://git.kalinamall.ru/PapaTramp/reverse-proxy](https://git.kalinamall.ru/PapaTramp/reverse-proxy) ## Соответствие имён и адресов -| Служба | Внешнее имя (клиенты) | Внутренний хост / IP | Порт снаружи | -|--------|------------------------|----------------------|--------------| -| Microsoft Exchange (OWA `https://ext.kalinamall.ru/owa`, EWS, MAPI/HTTPS и т.д.) | `ext.kalinamall.ru` | fifth.kalinamall.ru — **192.168.160.42** | 443 (TCP/SNI) | -| Autodiscover | `autodiscover.kalinamall.ru` | тот же Exchange — **192.168.160.42** | 443 (TCP/SNI) | -| RDS | `rds.kalinamall.ru` (**443** на HAProxy) | k6a-dc3.b26.kalinamall.ru — **192.168.160.40**, служба **4430** | 443 (SNI → внутр. **4430**) | -| 1С | `erp.kalinamall.ru` | hp-serv.b26.kalinamall.ru — **192.168.160.150** | 443 (снаружи только IP из **`1c-allowed`**) | -| Git (HTTPS) | `git.kalinamall.ru` | git.kalinamall.ru — **192.168.160.129** (свой TLS-сертификат; снаружи только IP из **`git-sac-allowed`**) | 443 (TCP/SNI) | -| SAC | `sac.kalinamall.ru` | sac.kalinamall.ru — **192.168.160.145** (свой TLS-сертификат; снаружи только IP из **`git-sac-allowed`**) | 443 (TCP/SNI) | -| Почтовый шлюз (KSMG) | `ksmg.kalinamall.ru` | ksmg.kalinamall.ru — **192.168.160.57** | 25 | +| Служба | Внешнее имя (клиенты) | Внутренний хост / IP | Порт | Allowlist | +|--------|------------------------|----------------------|------|-----------| +| Microsoft Exchange (OWA и т.д.) | `ext.kalinamall.ru` | fifth.kalinamall.ru — **192.168.160.42** | 443 | нет | +| Autodiscover | `autodiscover.kalinamall.ru` | тот же Exchange — **192.168.160.42** | 443 | нет | +| RDS | `rds.kalinamall.ru` | k6a-dc3 — **192.168.160.40**, служба **4430** | 443 → 4430 | нет | +| 1С | `erp.kalinamall.ru` | hp-serv — **192.168.160.150** | 443 | **`1c-allowed`** | +| Git (HTTPS) | `git.kalinamall.ru` | **192.168.160.129** | 443 | **`git-sac-allowed`** | +| SAC (веб) | `sac.kalinamall.ru` | **192.168.160.145** | 443 | **`git-sac-allowed`** | +| SAC / Seaca (mobile API) | **`sac-api.kalinamall.ru`** | тот же **192.168.160.145** | 443 | **нет** | +| Почтовый шлюз (KSMG) | `ksmg.kalinamall.ru` | **192.168.160.57** | 25 | нет | -DNS: записи **A** для `ext`, **`autodiscover`**, `rds`, `erp`, **`git`**, **`sac`**, `ksmg` должны указывать на **публичный IP** хоста с HAProxy. Имя `autodiscover.kalinamall.ru` должно быть в **SAN** wildcard `*.kalinamall.ru` или отдельно в сертификате на Exchange. +DNS: **A** для `ext`, `autodiscover`, `rds`, `erp`, `git`, `sac`, **`sac-api`**, `ksmg` → публичный IP HAProxy. -Доступ по **SSH** к внутренним хостам (например Ubuntu **192.168.160.85**) в этом репозитории **не** настраивается через HAProxy — организуйте отдельно (прямой проброс, VPN, бастион и т.д.). - -В режиме **TCP + SNI** отдельные строки в HAProxy для путей вроде `/owa` **не нужны**: после согласования TLS клиент шлёт HTTP внутри шифрования, разбор путей делает **IIS/Exchange** на `192.168.160.42`. +Если после **Git** в том же браузере **SAC** показывает Gitea — см. [SAC, Seaca и coalescing](docs/sac-access.md). ## Документация - [Установка HAProxy и развёртывание конфигурации](docs/haproxy-install.md) +- [SAC: веб vs sac-api, Seaca, Git+SAC в браузере](docs/sac-access.md) - [Работа с Git: clone, pull, push, ключи и PAT](docs/git.md) - [Let's Encrypt / ACME через HAProxy (порт 80)](docs/letsencrypt-acme.md) diff --git a/docs/haproxy-install.md b/docs/haproxy-install.md index 79e43ac..44c538f 100644 --- a/docs/haproxy-install.md +++ b/docs/haproxy-install.md @@ -63,3 +63,11 @@ sudo haproxy -c -f /etc/haproxy/haproxy.cfg На хосте с HAProxy с интернета обычно открывают только то, что слушает конфиг: **25**, **443** (и при использовании — **8404** для stats). Остальной трафик — по политике безопасности. Если позже добавите фронтенд на **80** для ACME (см. [letsencrypt-acme.md](letsencrypt-acme.md)), откройте и **TCP 80**. + +## SAC и Seaca (sac-api) + +- Веб-SAC: **`sac.kalinamall.ru`** — IP из **`git-sac-allowed`** +- Seaca (Android): **`sac-api.kalinamall.ru`** — без allowlist; добавьте **A**-запись на тот же IP HAProxy +- На nginx SAC (**192.168.160.145**): `server_name sac.kalinamall.ru sac-api.kalinamall.ru;` + +Подробнее: [sac-access.md](sac-access.md). diff --git a/docs/sac-access.md b/docs/sac-access.md new file mode 100644 index 0000000..18c4032 --- /dev/null +++ b/docs/sac-access.md @@ -0,0 +1,93 @@ +# SAC: веб, Seaca (sac-api) и HAProxy + +## Два имени — один сервер + +| Имя | Клиенты | IP-allowlist HAProxy | Бэкенд | +|-----|---------|----------------------|--------| +| **`sac.kalinamall.ru`** | Веб-интерфейс SAC (браузер) | **Да** (`git-sac-allowed`) | 192.168.160.145:443 | +| **`sac-api.kalinamall.ru`** | Seaca (Android), mobile API | **Нет** (доступ с любого IP) | тот же 192.168.160.145:443 | + +Защита `sac-api`: код регистрации `sacmob_…`, JWT, отзыв устройств в веб-SAC. + +### DNS + +Добавьте **A**-запись: + +```text +sac-api.kalinamall.ru → тот же публичный IP, что у sac / ext / git (хост HAProxy) +``` + +### nginx на 192.168.160.145 + +В `server_name` должны быть **оба** имени (wildcard `*.kalinamall.ru` в сертификате это покрывает): + +```nginx +server_name sac.kalinamall.ru sac-api.kalinamall.ru; +``` + +Для чужих имён (например `ext.kalinamall.ru`) — отдельный default или `return 444`, иначе SAC ответит на любой Host. + +### Seaca + +В приложении указывают **`https://sac-api.kalinamall.ru`**, не `sac.kalinamall.ru`. + +--- + +## Git → SAC в одном браузере: «Page Not Found — Gitea» + +### Симптом + +1. Открыли **`git.kalinamall.ru`** — Gitea работает. +2. В **той же вкладке/браузере** перешли на **`sac.kalinamall.ru`**. +3. В адресной строке SAC, на экране — **Gitea 404** («Page Not Found - Gitea»). + +В логах HAProxy при этом может быть **`be_git`**, хотя URL — sac. + +### Причина: HTTP/2 connection coalescing + +Git и SAC снаружи идут на **один IP:443** HAProxy. В режиме **TCP passthrough** backend выбирается **один раз** при ClientHello (SNI) на **TCP-соединение**. + +Современные браузеры (Chrome, Firefox) при **HTTP/2** могут **объединять** несколько hostname на одном IP в **одно TLS-соединение**, если сертификаты «совместимы» (часто так с `*.kalinamall.ru`). + +Тогда: + +1. Первое соединение: SNI `git.kalinamall.ru` → HAProxy → **Gitea**. +2. Запрос к `sac.kalinamall.ru` идёт **по тому же TCP** (без нового SNI для HAProxy). +3. Gitea получает `Host: sac.kalinamall.ru` → отдаёт **404 Gitea**. + +Это **не ошибка маршрутизации ACL** и **не баг SAC** — ограничение схемы «несколько HTTPS-имён на одном IP + TCP passthrough». + +### Обходные пути (без смены архитектуры) + +| Способ | Комментарий | +|--------|-------------| +| **Новая вкладка / приватное окно** для SAC после Git | Новое TCP-соединение, свой SNI | +| **Закрыть вкладку с Git** перед SAC | Сброс keep-alive / H2 coalescing | +| **Разные публичные IP** в DNS: `git.*` → IP1, `sac.*` → IP2 | Надёжное решение для passthrough | +| **`http2 off;`** в nginx Gitea и SAC | Часто уменьшает coalescing (на серверах .129 и .145) | +| **`Connection: close`** в ответах Git | Жёстче рвёт keep-alive (на .129) | + +### Долгосрочно + +- Отдельный WAN IP для Git и для SAC, **или** +- TLS-терминация на HAProxy с маршрутизацией по Host (больше изменений). + +--- + +## Деплой изменений HAProxy + +```bash +sudo cp ~/reverse-proxy/haproxy.cfg /etc/haproxy/haproxy.cfg +sudo haproxy -c -f /etc/haproxy/haproxy.cfg +sudo systemctl reload haproxy +``` + +Проверка: + +```bash +# веб SAC — только с allowlist IP +curl -sI --resolve sac.kalinamall.ru:443:ПУБЛИЧНЫЙ_IP https://sac.kalinamall.ru/dashboard + +# mobile API — с любого IP +curl -s --resolve sac-api.kalinamall.ru:443:ПУБЛИЧНЫЙ_IP https://sac-api.kalinamall.ru/health +``` diff --git a/haproxy.cfg b/haproxy.cfg index c31d217..653b775 100644 --- a/haproxy.cfg +++ b/haproxy.cfg @@ -1,9 +1,11 @@ # HAProxy — периметровый reverse-proxy для kalinamall.ru -# Режим: TCP + SNI на 443 (TLS end-to-end, сертификаты GlobalSign wildcard на бэкендах) +# Config version: 0.7.2 +# Режим: TCP + SNI на 443 (TLS end-to-end, сертификаты на бэкендах) # # Проверка синтаксиса: haproxy -c -f haproxy.cfg # Установка: скопируйте в /etc/haproxy/haproxy.cfg -# Allowlist: git-sac-allowed, 1c-allowed → /etc/haproxy/ +# Allowlist: git-sac-allowed (git + sac веб), 1c-allowed → /etc/haproxy/ +# sac-api.kalinamall.ru — без IP-фильтра (Seaca с любого адреса, auth на SAC) global log stdout format raw local0 @@ -22,10 +24,11 @@ defaults # Для ActiveSync / больших вложений Exchange при необходимости увеличьте client/server # ----------------------------------------------------------------------------- -# HTTPS (443): маршрутизация по SNI → внутренние серверы с wildcard на 443 -# Клиенты: ext, autodiscover (Exchange) / rds / erp / git / sac -# Git и SAC — allowlist git-sac-allowed; 1С (erp) — allowlist 1c-allowed -# Пути URL ( /owa, /ecp, /ews/, /mapi/ … ) HAProxy не разбирает — они внутри TLS; достаточно SNI ext.kalinamall.ru +# HTTPS (443): маршрутизация по SNI → внутренние серверы +# ext, autodiscover (Exchange) / rds / erp / git / sac (веб) / sac-api (Seaca) +# Git и sac.kalinamall.ru (веб) — allowlist git-sac-allowed +# sac-api.kalinamall.ru (мобильное API) — без allowlist +# См. docs/sac-access.md — connection coalescing (git + sac на одном IP) # ----------------------------------------------------------------------------- frontend fe_https_sni @@ -41,50 +44,51 @@ frontend fe_https_sni acl sni_known req_ssl_sni -i erp.kalinamall.ru acl sni_known req_ssl_sni -i git.kalinamall.ru acl sni_known req_ssl_sni -i sac.kalinamall.ru + acl sni_known req_ssl_sni -i sac-api.kalinamall.ru acl sni_git req_ssl_sni -i git.kalinamall.ru - acl sni_sac req_ssl_sni -i sac.kalinamall.ru + acl sni_sac_web req_ssl_sni -i sac.kalinamall.ru acl sni_erp req_ssl_sni -i erp.kalinamall.ru acl src_git_sac_allowed src -f /etc/haproxy/git-sac-allowed acl src_1c_allowed src -f /etc/haproxy/1c-allowed - # tcp-request обрабатываются до use_backend — reject ставим ДО use_backend, иначе предупреждение парсера + # tcp-request обрабатываются до use_backend — reject ставим ДО use_backend tcp-request content reject if !sni_known tcp-request content reject if sni_git !src_git_sac_allowed - tcp-request content reject if sni_sac !src_git_sac_allowed + tcp-request content reject if sni_sac_web !src_git_sac_allowed tcp-request content reject if sni_erp !src_1c_allowed - # OWA: https://ext.kalinamall.ru/owa — тот же поток, отдельное правило не требуется use_backend be_exchange if { req_ssl_sni -i ext.kalinamall.ru } use_backend be_exchange if { req_ssl_sni -i autodiscover.kalinamall.ru } use_backend be_rds if { req_ssl_sni -i rds.kalinamall.ru } use_backend be_erp if { req_ssl_sni -i erp.kalinamall.ru } use_backend be_git if { req_ssl_sni -i git.kalinamall.ru } use_backend be_sac if { req_ssl_sni -i sac.kalinamall.ru } + use_backend be_sac if { req_ssl_sni -i sac-api.kalinamall.ru } backend be_exchange - # fifth.kalinamall.ru (192.168.160.42) — внешние имена HTTPS: ext.kalinamall.ru, autodiscover.kalinamall.ru - server exch 192.168.160.42:443 check ssl verify none + # fifth.kalinamall.ru (192.168.160.42) + server exch 192.168.160.42:443 check check-ssl check-sni ext.kalinamall.ru verify none backend be_rds - # k6a-dc3.b26.kalinamall.ru (192.168.160.40) — RDS слушает TLS на 4430; снаружи клиенты идут на rds.kalinamall.ru:443 - server rds 192.168.160.40:4430 check ssl verify none + # k6a-dc3.b26.kalinamall.ru (192.168.160.40), TLS на 4430 + server rds 192.168.160.40:4430 check check-ssl check-sni rds.kalinamall.ru verify none backend be_erp - # hp-serv.b26.kalinamall.ru (192.168.160.150) — erp.kalinamall.ru; снаружи только IP из 1c-allowed - server erp 192.168.160.150:443 check ssl verify none + # hp-serv.b26.kalinamall.ru (192.168.160.150) + server erp 192.168.160.150:443 check check-ssl check-sni erp.kalinamall.ru verify none backend be_git - # git.kalinamall.ru (192.168.160.129) — свой TLS-сертификат; снаружи только IP из git-sac-allowed - server git 192.168.160.129:443 check ssl verify none + # git.kalinamall.ru (192.168.160.129); снаружи только IP из git-sac-allowed + server git 192.168.160.129:443 check check-ssl check-sni git.kalinamall.ru verify none backend be_sac - # sac.kalinamall.ru (192.168.160.145) — свой TLS-сертификат; снаружи только IP из git-sac-allowed - server sac 192.168.160.145:443 check ssl verify none + # sac.kalinamall.ru + sac-api.kalinamall.ru → 192.168.160.145 + # веб sac.kalinamall.ru — только IP из git-sac-allowed; sac-api — без фильтра на frontend + server sac 192.168.160.145:443 check check-ssl check-sni sac.kalinamall.ru verify none # ----------------------------------------------------------------------------- -# SMTP (25): почтовый шлюз KSMG -# Внешнее имя: ksmg.kalinamall.ru +# SMTP (25): почтовый шлюз KSMG — ksmg.kalinamall.ru # ----------------------------------------------------------------------------- frontend fe_smtp