HAProxy 0.7.2: sac-api для Seaca, check-ssl на всех HTTPS-бэкендах.

Веб-SAC остаётся за allowlist; sac-api.kalinamall.ru открыт для мобильных клиентов. Документация по connection coalescing Git+SAC.

Co-authored-by: Cursor <cursoragent@cursor.com>

README.md

@@ -2,32 +2,32 @@
 
 Периметровая конфигурация **HAProxy** для сети **kalinamall.ru**: Exchange, RDS (веб/шлюз по HTTPS), 1С, Git, SAC, почтовый шлюз KSMG. Прямой RDP (3389) через HAProxy не используется — клиенты идут через RDS на **443** (`rds.kalinamall.ru`).
 
-TLS: на целевых серверах в основном **wildcard-сертификаты GlobalSign**; **Git** (`git.kalinamall.ru`) и **SAC** (`sac.kalinamall.ru`) используют **свои** сертификаты на **192.168.160.129** и **192.168.160.145**. HAProxy на **443** работает в режиме **TCP + SNI** и **не терминирует** TLS — сертификаты остаются на бэкендах.
+TLS: HAProxy на **443** в режиме **TCP + SNI**, **не терминирует** TLS — сертификаты на бэкендах.
 
-Доступ снаружи по allowlist: **Git** и **SAC** — файл `git-sac-allowed`; **1С** (`erp.kalinamall.ru`) — файл `1c-allowed`.
+Доступ снаружи по allowlist: **Git** и **веб-SAC** (`sac.kalinamall.ru`) — файл `git-sac-allowed`; **1С** (`erp.kalinamall.ru`) — `1c-allowed`. **Seaca** — **`sac-api.kalinamall.ru`** без IP-фильтра (аутентификация на SAC).
 
 Репозиторий: [https://git.kalinamall.ru/PapaTramp/reverse-proxy](https://git.kalinamall.ru/PapaTramp/reverse-proxy)
 
 ## Соответствие имён и адресов
 
-| Служба | Внешнее имя (клиенты) | Внутренний хост / IP | Порт снаружи |
-|--------|------------------------|----------------------|--------------|
-| Microsoft Exchange (OWA `https://ext.kalinamall.ru/owa`, EWS, MAPI/HTTPS и т.д.) | `ext.kalinamall.ru` | fifth.kalinamall.ru — **192.168.160.42** | 443 (TCP/SNI) |
-| Autodiscover | `autodiscover.kalinamall.ru` | тот же Exchange — **192.168.160.42** | 443 (TCP/SNI) |
-| RDS | `rds.kalinamall.ru` (**443** на HAProxy) | k6a-dc3.b26.kalinamall.ru — **192.168.160.40**, служба **4430** | 443 (SNI → внутр. **4430**) |
-| 1С | `erp.kalinamall.ru` | hp-serv.b26.kalinamall.ru — **192.168.160.150** | 443 (снаружи только IP из **`1c-allowed`**) |
-| Git (HTTPS) | `git.kalinamall.ru` | git.kalinamall.ru — **192.168.160.129** (свой TLS-сертификат; снаружи только IP из **`git-sac-allowed`**) | 443 (TCP/SNI) |
-| SAC | `sac.kalinamall.ru` | sac.kalinamall.ru — **192.168.160.145** (свой TLS-сертификат; снаружи только IP из **`git-sac-allowed`**) | 443 (TCP/SNI) |
-| Почтовый шлюз (KSMG) | `ksmg.kalinamall.ru` | ksmg.kalinamall.ru — **192.168.160.57** | 25 |
+| Служба | Внешнее имя (клиенты) | Внутренний хост / IP | Порт | Allowlist |
+|--------|------------------------|----------------------|------|-----------|
+| Microsoft Exchange (OWA и т.д.) | `ext.kalinamall.ru` | fifth.kalinamall.ru — **192.168.160.42** | 443 | нет |
+| Autodiscover | `autodiscover.kalinamall.ru` | тот же Exchange — **192.168.160.42** | 443 | нет |
+| RDS | `rds.kalinamall.ru` | k6a-dc3 — **192.168.160.40**, служба **4430** | 443 → 4430 | нет |
+| 1С | `erp.kalinamall.ru` | hp-serv — **192.168.160.150** | 443 | **`1c-allowed`** |
+| Git (HTTPS) | `git.kalinamall.ru` | **192.168.160.129** | 443 | **`git-sac-allowed`** |
+| SAC (веб) | `sac.kalinamall.ru` | **192.168.160.145** | 443 | **`git-sac-allowed`** |
+| SAC / Seaca (mobile API) | **`sac-api.kalinamall.ru`** | тот же **192.168.160.145** | 443 | **нет** |
+| Почтовый шлюз (KSMG) | `ksmg.kalinamall.ru` | **192.168.160.57** | 25 | нет |
 
-DNS: записи **A** для `ext`, **`autodiscover`**, `rds`, `erp`, **`git`**, **`sac`**, `ksmg` должны указывать на **публичный IP** хоста с HAProxy. Имя `autodiscover.kalinamall.ru` должно быть в **SAN** wildcard `*.kalinamall.ru` или отдельно в сертификате на Exchange.
+DNS: **A** для `ext`, `autodiscover`, `rds`, `erp`, `git`, `sac`, **`sac-api`**, `ksmg` → публичный IP HAProxy.
 
-Доступ по **SSH** к внутренним хостам (например Ubuntu **192.168.160.85**) в этом репозитории **не** настраивается через HAProxy — организуйте отдельно (прямой проброс, VPN, бастион и т.д.).
-
-В режиме **TCP + SNI** отдельные строки в HAProxy для путей вроде `/owa` **не нужны**: после согласования TLS клиент шлёт HTTP внутри шифрования, разбор путей делает **IIS/Exchange** на `192.168.160.42`.
+Если после **Git** в том же браузере **SAC** показывает Gitea — см. [SAC, Seaca и coalescing](docs/sac-access.md).
 
 ## Документация
 
 - [Установка HAProxy и развёртывание конфигурации](docs/haproxy-install.md)
+- [SAC: веб vs sac-api, Seaca, Git+SAC в браузере](docs/sac-access.md)
 - [Работа с Git: clone, pull, push, ключи и PAT](docs/git.md)
 - [Let's Encrypt / ACME через HAProxy (порт 80)](docs/letsencrypt-acme.md)

docs/haproxy-install.md

@@ -63,3 +63,11 @@ sudo haproxy -c -f /etc/haproxy/haproxy.cfg
 На хосте с HAProxy с интернета обычно открывают только то, что слушает конфиг: **25**, **443** (и при использовании — **8404** для stats). Остальной трафик — по политике безопасности.
 
 Если позже добавите фронтенд на **80** для ACME (см. [letsencrypt-acme.md](letsencrypt-acme.md)), откройте и **TCP 80**.
+
+## SAC и Seaca (sac-api)
+
+- Веб-SAC: **`sac.kalinamall.ru`** — IP из **`git-sac-allowed`**
+- Seaca (Android): **`sac-api.kalinamall.ru`** — без allowlist; добавьте **A**-запись на тот же IP HAProxy
+- На nginx SAC (**192.168.160.145**): `server_name sac.kalinamall.ru sac-api.kalinamall.ru;`
+
+Подробнее: [sac-access.md](sac-access.md).

docs/sac-access.md

@@ -0,0 +1,93 @@
+# SAC: веб, Seaca (sac-api) и HAProxy
+
+## Два имени — один сервер
+
+| Имя | Клиенты | IP-allowlist HAProxy | Бэкенд |
+|-----|---------|----------------------|--------|
+| **`sac.kalinamall.ru`** | Веб-интерфейс SAC (браузер) | **Да** (`git-sac-allowed`) | 192.168.160.145:443 |
+| **`sac-api.kalinamall.ru`** | Seaca (Android), mobile API | **Нет** (доступ с любого IP) | тот же 192.168.160.145:443 |
+
+Защита `sac-api`: код регистрации `sacmob_…`, JWT, отзыв устройств в веб-SAC.
+
+### DNS
+
+Добавьте **A**-запись:
+
+```text
+sac-api.kalinamall.ru  →  тот же публичный IP, что у sac / ext / git (хост HAProxy)
+```
+
+### nginx на 192.168.160.145
+
+В `server_name` должны быть **оба** имени (wildcard `*.kalinamall.ru` в сертификате это покрывает):
+
+```nginx
+server_name sac.kalinamall.ru sac-api.kalinamall.ru;
+```
+
+Для чужих имён (например `ext.kalinamall.ru`) — отдельный default или `return 444`, иначе SAC ответит на любой Host.
+
+### Seaca
+
+В приложении указывают **`https://sac-api.kalinamall.ru`**, не `sac.kalinamall.ru`.
+
+---
+
+## Git → SAC в одном браузере: «Page Not Found — Gitea»
+
+### Симптом
+
+1. Открыли **`git.kalinamall.ru`** — Gitea работает.
+2. В **той же вкладке/браузере** перешли на **`sac.kalinamall.ru`**.
+3. В адресной строке SAC, на экране — **Gitea 404** («Page Not Found - Gitea»).
+
+В логах HAProxy при этом может быть **`be_git`**, хотя URL — sac.
+
+### Причина: HTTP/2 connection coalescing
+
+Git и SAC снаружи идут на **один IP:443** HAProxy. В режиме **TCP passthrough** backend выбирается **один раз** при ClientHello (SNI) на **TCP-соединение**.
+
+Современные браузеры (Chrome, Firefox) при **HTTP/2** могут **объединять** несколько hostname на одном IP в **одно TLS-соединение**, если сертификаты «совместимы» (часто так с `*.kalinamall.ru`).
+
+Тогда:
+
+1. Первое соединение: SNI `git.kalinamall.ru` → HAProxy → **Gitea**.
+2. Запрос к `sac.kalinamall.ru` идёт **по тому же TCP** (без нового SNI для HAProxy).
+3. Gitea получает `Host: sac.kalinamall.ru` → отдаёт **404 Gitea**.
+
+Это **не ошибка маршрутизации ACL** и **не баг SAC** — ограничение схемы «несколько HTTPS-имён на одном IP + TCP passthrough».
+
+### Обходные пути (без смены архитектуры)
+
+| Способ | Комментарий |
+|--------|-------------|
+| **Новая вкладка / приватное окно** для SAC после Git | Новое TCP-соединение, свой SNI |
+| **Закрыть вкладку с Git** перед SAC | Сброс keep-alive / H2 coalescing |
+| **Разные публичные IP** в DNS: `git.*` → IP1, `sac.*` → IP2 | Надёжное решение для passthrough |
+| **`http2 off;`** в nginx Gitea и SAC | Часто уменьшает coalescing (на серверах .129 и .145) |
+| **`Connection: close`** в ответах Git | Жёстче рвёт keep-alive (на .129) |
+
+### Долгосрочно
+
+- Отдельный WAN IP для Git и для SAC, **или**
+- TLS-терминация на HAProxy с маршрутизацией по Host (больше изменений).
+
+---
+
+## Деплой изменений HAProxy
+
+```bash
+sudo cp ~/reverse-proxy/haproxy.cfg /etc/haproxy/haproxy.cfg
+sudo haproxy -c -f /etc/haproxy/haproxy.cfg
+sudo systemctl reload haproxy
+```
+
+Проверка:
+
+```bash
+# веб SAC — только с allowlist IP
+curl -sI --resolve sac.kalinamall.ru:443:ПУБЛИЧНЫЙ_IP https://sac.kalinamall.ru/dashboard
+
+# mobile API — с любого IP
+curl -s --resolve sac-api.kalinamall.ru:443:ПУБЛИЧНЫЙ_IP https://sac-api.kalinamall.ru/health
+```

haproxy.cfg

@@ -1,9 +1,11 @@
 # HAProxy — периметровый reverse-proxy для kalinamall.ru
-# Режим: TCP + SNI на 443 (TLS end-to-end, сертификаты GlobalSign wildcard на бэкендах)
+# Config version: 0.7.2
+# Режим: TCP + SNI на 443 (TLS end-to-end, сертификаты на бэкендах)
 #
 # Проверка синтаксиса: haproxy -c -f haproxy.cfg
 # Установка: скопируйте в /etc/haproxy/haproxy.cfg
-# Allowlist: git-sac-allowed, 1c-allowed → /etc/haproxy/
+# Allowlist: git-sac-allowed (git + sac веб), 1c-allowed → /etc/haproxy/
+# sac-api.kalinamall.ru — без IP-фильтра (Seaca с любого адреса, auth на SAC)
 
 global
     log stdout format raw local0
@@ -22,10 +24,11 @@ defaults
     # Для ActiveSync / больших вложений Exchange при необходимости увеличьте client/server
 
 # -----------------------------------------------------------------------------
-# HTTPS (443): маршрутизация по SNI → внутренние серверы с wildcard на 443
-# Клиенты: ext, autodiscover (Exchange) / rds / erp / git / sac
-# Git и SAC — allowlist git-sac-allowed; 1С (erp) — allowlist 1c-allowed
-# Пути URL ( /owa, /ecp, /ews/, /mapi/ … ) HAProxy не разбирает — они внутри TLS; достаточно SNI ext.kalinamall.ru
+# HTTPS (443): маршрутизация по SNI → внутренние серверы
+# ext, autodiscover (Exchange) / rds / erp / git / sac (веб) / sac-api (Seaca)
+# Git и sac.kalinamall.ru (веб) — allowlist git-sac-allowed
+# sac-api.kalinamall.ru (мобильное API) — без allowlist
+# См. docs/sac-access.md — connection coalescing (git + sac на одном IP)
 # -----------------------------------------------------------------------------
 
 frontend fe_https_sni
@@ -41,50 +44,51 @@ frontend fe_https_sni
     acl sni_known req_ssl_sni -i erp.kalinamall.ru
     acl sni_known req_ssl_sni -i git.kalinamall.ru
     acl sni_known req_ssl_sni -i sac.kalinamall.ru
+    acl sni_known req_ssl_sni -i sac-api.kalinamall.ru
 
     acl sni_git req_ssl_sni -i git.kalinamall.ru
-    acl sni_sac req_ssl_sni -i sac.kalinamall.ru
+    acl sni_sac_web req_ssl_sni -i sac.kalinamall.ru
     acl sni_erp req_ssl_sni -i erp.kalinamall.ru
     acl src_git_sac_allowed src -f /etc/haproxy/git-sac-allowed
     acl src_1c_allowed src -f /etc/haproxy/1c-allowed
 
-    # tcp-request обрабатываются до use_backend — reject ставим ДО use_backend, иначе предупреждение парсера
+    # tcp-request обрабатываются до use_backend — reject ставим ДО use_backend
     tcp-request content reject if !sni_known
     tcp-request content reject if sni_git !src_git_sac_allowed
-    tcp-request content reject if sni_sac !src_git_sac_allowed
+    tcp-request content reject if sni_sac_web !src_git_sac_allowed
     tcp-request content reject if sni_erp !src_1c_allowed
 
-    # OWA: https://ext.kalinamall.ru/owa — тот же поток, отдельное правило не требуется
     use_backend be_exchange if { req_ssl_sni -i ext.kalinamall.ru }
     use_backend be_exchange if { req_ssl_sni -i autodiscover.kalinamall.ru }
     use_backend be_rds      if { req_ssl_sni -i rds.kalinamall.ru }
     use_backend be_erp      if { req_ssl_sni -i erp.kalinamall.ru }
     use_backend be_git      if { req_ssl_sni -i git.kalinamall.ru }
     use_backend be_sac      if { req_ssl_sni -i sac.kalinamall.ru }
+    use_backend be_sac      if { req_ssl_sni -i sac-api.kalinamall.ru }
 
 backend be_exchange
-    # fifth.kalinamall.ru (192.168.160.42) — внешние имена HTTPS: ext.kalinamall.ru, autodiscover.kalinamall.ru
-    server exch 192.168.160.42:443 check ssl verify none
+    # fifth.kalinamall.ru (192.168.160.42)
+    server exch 192.168.160.42:443 check check-ssl check-sni ext.kalinamall.ru verify none
 
 backend be_rds
-    # k6a-dc3.b26.kalinamall.ru (192.168.160.40) — RDS слушает TLS на 4430; снаружи клиенты идут на rds.kalinamall.ru:443
-    server rds 192.168.160.40:4430 check ssl verify none
+    # k6a-dc3.b26.kalinamall.ru (192.168.160.40), TLS на 4430
+    server rds 192.168.160.40:4430 check check-ssl check-sni rds.kalinamall.ru verify none
 
 backend be_erp
-    # hp-serv.b26.kalinamall.ru (192.168.160.150) — erp.kalinamall.ru; снаружи только IP из 1c-allowed
-    server erp 192.168.160.150:443 check ssl verify none
+    # hp-serv.b26.kalinamall.ru (192.168.160.150)
+    server erp 192.168.160.150:443 check check-ssl check-sni erp.kalinamall.ru verify none
 
 backend be_git
-    # git.kalinamall.ru (192.168.160.129) — свой TLS-сертификат; снаружи только IP из git-sac-allowed
-    server git 192.168.160.129:443 check ssl verify none
+    # git.kalinamall.ru (192.168.160.129); снаружи только IP из git-sac-allowed
+    server git 192.168.160.129:443 check check-ssl check-sni git.kalinamall.ru verify none
 
 backend be_sac
-    # sac.kalinamall.ru (192.168.160.145) — свой TLS-сертификат; снаружи только IP из git-sac-allowed
-    server sac 192.168.160.145:443 check ssl verify none
+    # sac.kalinamall.ru + sac-api.kalinamall.ru → 192.168.160.145
+    # веб sac.kalinamall.ru — только IP из git-sac-allowed; sac-api — без фильтра на frontend
+    server sac 192.168.160.145:443 check check-ssl check-sni sac.kalinamall.ru verify none
 
 # -----------------------------------------------------------------------------
-# SMTP (25): почтовый шлюз KSMG
-# Внешнее имя: ksmg.kalinamall.ru
+# SMTP (25): почтовый шлюз KSMG — ksmg.kalinamall.ru
 # -----------------------------------------------------------------------------
 
 frontend fe_smtp