# Чеклист после внедрения защиты

## HAProxy (192.168.160.117)

- [ ] `ufw status verbose` — active; есть 22 из admin, 25/80/443 open
- [ ] SSH с admin-IP работает; с random IP — **нет** (или только ключ + fail2ban)
- [ ] `ss -tlnp` — нет лишних listen (8404, 3000, …)
- [ ] `haproxy -c -f /etc/haproxy/haproxy.cfg` — OK
- [ ] С allowlist IP: git, rds, zabbix, erp, syno — **OK**
- [ ] С чужого IP: git/rds/erp — **reject** (нет TCP reset или обрыв на ACL)
- [ ] `fail2ban-client status sshd` — active
- [ ] Логи: `grep -E 'SC|NOSRV|reject' /var/log/haproxy.log | tail`

## MikroTik / периметр

- [ ] С интернета на публичный IP: открыты только **25, 80, 443**
- [ ] Нет DNAT 3389, 5001, 4430 на внутренние хосты
- [ ] HAProxy health-check не блокируется

## Бэкенды (каждый)

- [ ] UFW/firewall active
- [ ] С `.117` на сервисный порт — OK
- [ ] С другого LAN IP на сервисный порт — **closed** (если так задумано)
- [ ] HAProxy backend **UP** в stats/log
- [ ] Прикладной smoke-test (OWA, RD Web, Gitea login, …)

## KSMG (.57)

- [ ] Почта inbound через HAProxy:25 — OK
- [ ] Прямые отправители (если есть) — в `EXTRA_ALLOWED`

## Документация и runbook

- [ ] `/etc/haproxy/security/*.env` — backup в password store
- [ ] Откат UFW: `ufw disable` + процедура задокументирована
- [ ] Ответственный и дата внедрения фикс

## Регулярно (ежемесячно)

- [ ] `apt upgrade` на HAProxy
- [ ] Проверка актуальности allowlist / `rds-allowed` cron
- [ ] Review fail2ban / auth.log
- [ ] Тест restore конфига из git