HAProxy 0.7.2: sac-api для Seaca, check-ssl на всех HTTPS-бэкендах.
Веб-SAC остаётся за allowlist; sac-api.kalinamall.ru открыт для мобильных клиентов. Документация по connection coalescing Git+SAC. Co-authored-by: Cursor <cursoragent@cursor.com>
This commit is contained in:
PTah
+26
-22
@@ -1,9 +1,11 @@
|
||||
# HAProxy — периметровый reverse-proxy для kalinamall.ru
|
||||
# Режим: TCP + SNI на 443 (TLS end-to-end, сертификаты GlobalSign wildcard на бэкендах)
|
||||
# Config version: 0.7.2
|
||||
# Режим: TCP + SNI на 443 (TLS end-to-end, сертификаты на бэкендах)
|
||||
#
|
||||
# Проверка синтаксиса: haproxy -c -f haproxy.cfg
|
||||
# Установка: скопируйте в /etc/haproxy/haproxy.cfg
|
||||
# Allowlist: git-sac-allowed, 1c-allowed → /etc/haproxy/
|
||||
# Allowlist: git-sac-allowed (git + sac веб), 1c-allowed → /etc/haproxy/
|
||||
# sac-api.kalinamall.ru — без IP-фильтра (Seaca с любого адреса, auth на SAC)
|
||||
|
||||
global
|
||||
log stdout format raw local0
|
||||
@@ -22,10 +24,11 @@ defaults
|
||||
# Для ActiveSync / больших вложений Exchange при необходимости увеличьте client/server
|
||||
|
||||
# -----------------------------------------------------------------------------
|
||||
# HTTPS (443): маршрутизация по SNI → внутренние серверы с wildcard на 443
|
||||
# Клиенты: ext, autodiscover (Exchange) / rds / erp / git / sac
|
||||
# Git и SAC — allowlist git-sac-allowed; 1С (erp) — allowlist 1c-allowed
|
||||
# Пути URL ( /owa, /ecp, /ews/, /mapi/ … ) HAProxy не разбирает — они внутри TLS; достаточно SNI ext.kalinamall.ru
|
||||
# HTTPS (443): маршрутизация по SNI → внутренние серверы
|
||||
# ext, autodiscover (Exchange) / rds / erp / git / sac (веб) / sac-api (Seaca)
|
||||
# Git и sac.kalinamall.ru (веб) — allowlist git-sac-allowed
|
||||
# sac-api.kalinamall.ru (мобильное API) — без allowlist
|
||||
# См. docs/sac-access.md — connection coalescing (git + sac на одном IP)
|
||||
# -----------------------------------------------------------------------------
|
||||
|
||||
frontend fe_https_sni
|
||||
@@ -41,50 +44,51 @@ frontend fe_https_sni
|
||||
acl sni_known req_ssl_sni -i erp.kalinamall.ru
|
||||
acl sni_known req_ssl_sni -i git.kalinamall.ru
|
||||
acl sni_known req_ssl_sni -i sac.kalinamall.ru
|
||||
acl sni_known req_ssl_sni -i sac-api.kalinamall.ru
|
||||
|
||||
acl sni_git req_ssl_sni -i git.kalinamall.ru
|
||||
acl sni_sac req_ssl_sni -i sac.kalinamall.ru
|
||||
acl sni_sac_web req_ssl_sni -i sac.kalinamall.ru
|
||||
acl sni_erp req_ssl_sni -i erp.kalinamall.ru
|
||||
acl src_git_sac_allowed src -f /etc/haproxy/git-sac-allowed
|
||||
acl src_1c_allowed src -f /etc/haproxy/1c-allowed
|
||||
|
||||
# tcp-request обрабатываются до use_backend — reject ставим ДО use_backend, иначе предупреждение парсера
|
||||
# tcp-request обрабатываются до use_backend — reject ставим ДО use_backend
|
||||
tcp-request content reject if !sni_known
|
||||
tcp-request content reject if sni_git !src_git_sac_allowed
|
||||
tcp-request content reject if sni_sac !src_git_sac_allowed
|
||||
tcp-request content reject if sni_sac_web !src_git_sac_allowed
|
||||
tcp-request content reject if sni_erp !src_1c_allowed
|
||||
|
||||
# OWA: https://ext.kalinamall.ru/owa — тот же поток, отдельное правило не требуется
|
||||
use_backend be_exchange if { req_ssl_sni -i ext.kalinamall.ru }
|
||||
use_backend be_exchange if { req_ssl_sni -i autodiscover.kalinamall.ru }
|
||||
use_backend be_rds if { req_ssl_sni -i rds.kalinamall.ru }
|
||||
use_backend be_erp if { req_ssl_sni -i erp.kalinamall.ru }
|
||||
use_backend be_git if { req_ssl_sni -i git.kalinamall.ru }
|
||||
use_backend be_sac if { req_ssl_sni -i sac.kalinamall.ru }
|
||||
use_backend be_sac if { req_ssl_sni -i sac-api.kalinamall.ru }
|
||||
|
||||
backend be_exchange
|
||||
# fifth.kalinamall.ru (192.168.160.42) — внешние имена HTTPS: ext.kalinamall.ru, autodiscover.kalinamall.ru
|
||||
server exch 192.168.160.42:443 check ssl verify none
|
||||
# fifth.kalinamall.ru (192.168.160.42)
|
||||
server exch 192.168.160.42:443 check check-ssl check-sni ext.kalinamall.ru verify none
|
||||
|
||||
backend be_rds
|
||||
# k6a-dc3.b26.kalinamall.ru (192.168.160.40) — RDS слушает TLS на 4430; снаружи клиенты идут на rds.kalinamall.ru:443
|
||||
server rds 192.168.160.40:4430 check ssl verify none
|
||||
# k6a-dc3.b26.kalinamall.ru (192.168.160.40), TLS на 4430
|
||||
server rds 192.168.160.40:4430 check check-ssl check-sni rds.kalinamall.ru verify none
|
||||
|
||||
backend be_erp
|
||||
# hp-serv.b26.kalinamall.ru (192.168.160.150) — erp.kalinamall.ru; снаружи только IP из 1c-allowed
|
||||
server erp 192.168.160.150:443 check ssl verify none
|
||||
# hp-serv.b26.kalinamall.ru (192.168.160.150)
|
||||
server erp 192.168.160.150:443 check check-ssl check-sni erp.kalinamall.ru verify none
|
||||
|
||||
backend be_git
|
||||
# git.kalinamall.ru (192.168.160.129) — свой TLS-сертификат; снаружи только IP из git-sac-allowed
|
||||
server git 192.168.160.129:443 check ssl verify none
|
||||
# git.kalinamall.ru (192.168.160.129); снаружи только IP из git-sac-allowed
|
||||
server git 192.168.160.129:443 check check-ssl check-sni git.kalinamall.ru verify none
|
||||
|
||||
backend be_sac
|
||||
# sac.kalinamall.ru (192.168.160.145) — свой TLS-сертификат; снаружи только IP из git-sac-allowed
|
||||
server sac 192.168.160.145:443 check ssl verify none
|
||||
# sac.kalinamall.ru + sac-api.kalinamall.ru → 192.168.160.145
|
||||
# веб sac.kalinamall.ru — только IP из git-sac-allowed; sac-api — без фильтра на frontend
|
||||
server sac 192.168.160.145:443 check check-ssl check-sni sac.kalinamall.ru verify none
|
||||
|
||||
# -----------------------------------------------------------------------------
|
||||
# SMTP (25): почтовый шлюз KSMG
|
||||
# Внешнее имя: ksmg.kalinamall.ru
|
||||
# SMTP (25): почтовый шлюз KSMG — ksmg.kalinamall.ru
|
||||
# -----------------------------------------------------------------------------
|
||||
|
||||
frontend fe_smtp
|
||||
|
||||
Reference in New Issue
Block a user