Глубокий анализ маршрутизации и план перехода на nginx-reverse-proxy

Дата: 2026-02-08
Заказчик: CDTO Dkvark
Технический директор: AI Denkart
Цель: Единая точка входа через контейнер nginx-reverse-proxy; при отключении BBB-CONT22-1 должны продолжать работать denkart.cdto.group и docs.cdto.life.

1. Текущая архитектура маршрутизации (как сейчас работает)

1.1 Цепочка трафика (при включённом BBB-CONT22-1)

Роутер (89.179.242.240)
    ↓ порты 80, 443
Хост (192.168.1.112, интерфейс enp13s0)
    ↓ iptables: PREROUTING DNAT 80/443 → 10.218.14.37
BBB-CONT22-1 (10.218.14.37)
    ├── HAProxy слушает *:443 (SSL-терминация, certbundle.pem)
    │   По Host:
    │   • denkart.cdto.life, docs.cdto.life → backend nginx-443 → Nginx 127.0.0.1:443
    │   • school.cdto.life → backend nginx-http2 (BigBlueButton)
    │
    └── Nginx в BBB:
        • 127.0.0.1:443 — нет в конфиге; HAProxy ссылается на 127.0.0.1:443 (опечатка в haproxy-routing.cfg — там localhost:443)
        • 127.0.0.1:8443 — виртуальные хосты по server_name:
            - denkart.cdto.life → proxy_pass http://10.218.14.102:80 (docs-denkart)
            - docs.cdto.life   → proxy_pass http://10.218.14.102:80 (docs-denkart)
            - denkart.cdto.group → proxy_pass https://10.218.14.1:9090 (Cockpit)
            - docs.cdto.group  → proxy_pass https://10.218.14.102:443 (docs-denkart)
        • 127.0.0.1:81/82 (proxy_protocol) — denkart.cdto.life → Cockpit (10.218.14.1:9090)

Фактически в BBB используется HAProxy :443 и Nginx :8443 / :81. Маршрутизация по заголовку Host выполняется внутри BBB-CONT22-1. Бэкенды:

Важно: В config/nginx/bbb-https-routing.conf для denkart.cdto.life указан proxy_pass в docs-denkart (10.218.14.102:80), а не в Cockpit. Cockpit обслуживает denkart.cdto.group. Для denkart.cdto.life в том же файле — прокси в docs. Значит либо на практике используется только denkart.cdto.group для Cockpit, либо есть ещё конфиг (denkart-cockpit-https-bbb.conf — там только denkart.cdto.life на портах 81/82 в Cockpit). Итог: вся точка входа — один контейнер BBB-CONT22-1. Пока он запущен, все три домена работают.

1.2 Почему при отключении BBB-CONT22-1 всё падает

• iptables на хосте направляет весь трафик 80/443 только в 10.218.14.37 (BBB-CONT22-1).
• Контейнеры docs-denkart (10.218.14.102) и Cockpit (хост 10.218.14.1:9090) сами по себе не получают входящий трафик с интернета — они доступны только из внутренней сети и через BBB.
• При lxc stop BBB-CONT22-1 пакеты по-прежнему уходят на 10.218.14.37, но контейнер не отвечает → все домены (denkart, docs, school) становятся недоступны.

Вывод: Текущая архитектура не отказоустойчива: один контейнер (BBB) является единой точкой входа для всех сервисов.

2. Целевая архитектура (единая точка входа — nginx-reverse-proxy)

2.1 Схема после перехода

Роутер (89.179.242.240)
    ↓ 80, 443
Хост (192.168.1.112)
    ↓ iptables: DNAT 80/443 (и опционально 8443) → 10.218.14.200
nginx-reverse-proxy (10.218.14.200) :80, :443, :8443
    По server_name:
    • denkart.cdto.group (и при необходимости denkart.cdto.life) → Cockpit https://10.218.14.1:9090
    • docs.cdto.group (и docs.cdto.life) → docs-denkart http://10.218.14.102:80
    • school.cdto.life → BBB-CONT22-1 http://10.218.14.37:80

При остановленном BBB-CONT22-1:
- denkart.cdto.group и docs.cdto.life продолжают работать (прокси на хост и docs-denkart).
- school.cdto.life будет возвращать 502 Bad Gateway или таймаут (nginx-reverse-proxy не сможет достучаться до 10.218.14.37).

2.2 Готовые артефакты в репозитории

Замечание по конфигу nginx-reverse-proxy: В nginx-reverse-proxy-routing.conf домены docs.cdto.life и denkart.cdto.life добавлены в те же блоки server_name, что и docs.cdto.group и denkart.cdto.group; после деплоя оба варианта доменов (.life и .group) будут вести на те же бэкенды (документация и Cockpit).

3. План перехода (с сохранением и копиями файлов)

Обязательные принципы

1. Перед началом — полное сохранение состояния (точка восстановления).
2. Перед изменением любого файла — создавать копию с суффиксом .bak или в config/snapshots/ с датой.
3. Не удалять старые правила iptables, пока не проверена работа через nginx-reverse-proxy.

Фаза 0. Точка восстановления (обязательно первым шагом)

Критерий выхода: Снимки созданы, коммит запушен, при необходимости тег создан. Откат по BACKUP-BEFORE-CHANGES.md.

Фаза 1. Подготовка nginx-reverse-proxy

Критерий выхода: Запрос к 10.218.14.200 с Host denkart.cdto.group возвращает ответ от Cockpit.

Фаза 2. Переключение iptables на nginx-reverse-proxy

Критерий выхода: С хоста по 192.168.1.112 denkart.cdto.group и docs.cdto.group открываются через nginx-reverse-proxy.

Фаза 3. Проверка и стабилизация

Критерий выхода: Все три домена работают при включённом BBB; при выключенном BBB работают denkart и docs; документация обновлена.

Фаза 4. Откат при проблемах

После отката iptables снова применить старый скрипт: sudo /home/cdto/DENKART/config/iptables/port-forwarding-rules.sh (трафик снова пойдёт в BBB-CONT22-1).

4. Краткая схема до и после

5. Связанные документы

• План перехода по фазам
• Маршрутизация через nginx-reverse-proxy
• Сохранение перед изменениями
• Скрипты: config/iptables/port-forwarding-rules-nginx-proxy.sh, scripts/save-state-before-migration.sh
• Снимок состояния: config/snapshots/state-pre-nginx-proxy-migration-2026-02-08-014722/

Итог: Текущая маршрутизация полностью завязана на BBB-CONT22-1. Переход на nginx-reverse-proxy как единую точку входа выполняется по фазам с обязательным сохранением состояния и копированием изменяемых файлов. После перехода отключение BBB не затрагивает denkart.cdto.group и docs.cdto.life.