reverse-proxy/docs/security/checklist.md

Чеклист после внедрения защиты

HAProxy (192.168.160.117)

• ufw status verbose — active; есть 22 из admin, 25/80/443 open
• SSH с admin-IP работает; с random IP — нет (или только ключ + fail2ban)
• ss -tlnp — нет лишних listen (8404, 3000, …)
• haproxy -c -f /etc/haproxy/haproxy.cfg — OK
• С allowlist IP: git, rds, zabbix, erp, syno — OK
• С чужого IP: git/rds/erp — reject (нет TCP reset или обрыв на ACL)
• fail2ban-client status sshd — active
• Логи: grep -E 'SC|NOSRV|reject' /var/log/haproxy.log | tail

MikroTik / периметр

• С интернета на публичный IP: открыты только 25, 80, 443
• Нет DNAT 3389, 5001, 4430 на внутренние хосты
• HAProxy health-check не блокируется

Бэкенды (каждый)

• UFW/firewall active
• С .117 на сервисный порт — OK
• С другого LAN IP на сервисный порт — closed (если так задумано)
• HAProxy backend UP в stats/log
• Прикладной smoke-test (OWA, RD Web, Gitea login, …)

KSMG (.57)

• Почта inbound через HAProxy:25 — OK
• Прямые отправители (если есть) — в EXTRA_ALLOWED

Документация и runbook

• /etc/haproxy/security/*.env — backup в password store
• Откат UFW: ufw disable + процедура задокументирована
• Ответственный и дата внедрения фикс

Регулярно (ежемесячно)

• apt upgrade на HAProxy
• Проверка актуальности allowlist / rds-allowed cron
• Review fail2ban / auth.log
• Тест restore конфига из git