From f0bd31c5440552c9f56632dcf526137322fed22b Mon Sep 17 00:00:00 2001
From: PTah <papatramp@gmail.com>
Date: Sat, 13 Jun 2026 11:24:21 +1000
Subject: [PATCH] =?UTF-8?q?fix(nginx):=20=D0=BE=D1=82=D0=BA=D0=BB=D0=BE?=
 =?UTF-8?q?=D0=BD=D1=8F=D1=82=D1=8C=20=D1=87=D1=83=D0=B6=D0=B8=D0=B5=20Hos?=
 =?UTF-8?q?t=20=D0=BD=D0=B0=20SAC=20(default=5Fserver=20444)?=
MIME-Version: 1.0
Content-Type: text/plain; charset=UTF-8
Content-Transfer-Encoding: 8bit

Только sac.kalinamall.ru; ext.kalinamall.ru и прочие имена на IP SAC не отдают UI. ssl_reject_handshake на :443.

Co-authored-by: Cursor <cursoragent@cursor.com>
---
 deploy/README.md                    |  2 +-
 deploy/nginx/sac.conf.example       | 10 ++++++++++
 deploy/nginx/sac.conf.tls.example   | 22 +++++++++++++++++++++-
 docs/install-ubuntu-24.04-native.md | 11 +++++++++++
 docs/runbook-ops.md                 |  2 ++
 5 files changed, 45 insertions(+), 2 deletions(-)

diff --git a/deploy/README.md b/deploy/README.md
index 204fdc6..77433fd 100644
--- a/deploy/README.md
+++ b/deploy/README.md
@@ -5,7 +5,7 @@
 1. [docs/install-ubuntu-24.04-native.md](../docs/install-ubuntu-24.04-native.md)
 2. `deploy/env.native.example` → `/opt/security-alert-center/config/sac-api.env`
 3. `deploy/systemd/sac-api.service` → `/etc/systemd/system/`
-4. `deploy/nginx/sac.conf.tls.example` → `/etc/nginx/sites-available/sac` (wildcard TLS)  
+4. `deploy/nginx/sac.conf.tls.example` → `/etc/nginx/sites-available/sac` (wildcard TLS; только `sac.kalinamall.ru`, чужие Host → 444)  
    или `sac.conf.example` — только HTTP / отладка
 5. `deploy/sac-deploy.sh` → `/opt/sac-deploy.sh` — полное обновление после `git pull`
 
diff --git a/deploy/nginx/sac.conf.example b/deploy/nginx/sac.conf.example
index 99fab46..b32e1dd 100644
--- a/deploy/nginx/sac.conf.example
+++ b/deploy/nginx/sac.conf.example
@@ -2,6 +2,8 @@
 # Production FQDN: sac.kalinamall.ru
 # API: 127.0.0.1:8000 (systemd sac-api)
 #
+# Hostname: только sac.kalinamall.ru; остальные Host → 444 (см. default_server ниже).
+#
 # Порядок: 1) этот конфиг (только :80) → nginx -t → reload
 #          2) certbot --nginx -d sac.kalinamall.ru  (добавит :443 и сертификаты)
 
@@ -10,6 +12,14 @@ upstream sac_api {
     keepalive 8;
 }
 
+# --- default: отклонить чужие Host (не sac.kalinamall.ru) ---
+server {
+    listen 80 default_server;
+    listen [::]:80 default_server;
+    server_name _;
+    return 444;
+}
+
 server {
     listen 80;
     listen [::]:80;
diff --git a/deploy/nginx/sac.conf.tls.example b/deploy/nginx/sac.conf.tls.example
index c6c5f45..6f3f015 100644
--- a/deploy/nginx/sac.conf.tls.example
+++ b/deploy/nginx/sac.conf.tls.example
@@ -2,6 +2,10 @@
 # HTTPS с корпоративным wildcard-сертификатом (например VeriSign / DigiCert).
 # Покрывает sac.kalinamall.ru при CN/SAN *.kalinamall.ru или sac.kalinamall.ru
 #
+# Hostname: только sac.kalinamall.ru. Любой другой Host (например ext.kalinamall.ru
+# при ошибке DNS/маршрутизации на IP SAC) получает 444 / reject handshake —
+# форма входа SAC не отдаётся на «чужом» имени.
+#
 # Перед включением:
 #   1) Положите fullchain и ключ в /etc/ssl/sac/ (см. docs/ssl-certificate.md)
 #   2) Подставьте пути в ssl_certificate / ssl_certificate_key ниже
@@ -12,7 +16,23 @@ upstream sac_api {
     keepalive 8;
 }
 
-# Редирект HTTP → HTTPS
+# --- default: отклонить чужие Host на :80 ---
+server {
+    listen 80 default_server;
+    listen [::]:80 default_server;
+    server_name _;
+    return 444;
+}
+
+# --- default: отклонить чужой SNI/Host на :443 (nginx >= 1.19.5) ---
+server {
+    listen 443 ssl default_server;
+    listen [::]:443 ssl default_server;
+    server_name _;
+    ssl_reject_handshake on;
+}
+
+# Редирект HTTP → HTTPS (только sac.kalinamall.ru)
 server {
     listen 80;
     listen [::]:80;
diff --git a/docs/install-ubuntu-24.04-native.md b/docs/install-ubuntu-24.04-native.md
index e779b00..a757816 100644
--- a/docs/install-ubuntu-24.04-native.md
+++ b/docs/install-ubuntu-24.04-native.md
@@ -263,6 +263,17 @@ sudo nginx -t
 sudo systemctl reload nginx
 ```
 
+Шаблон `sac.conf.tls.example` содержит **default_server** с `return 444` (:80) и `ssl_reject_handshake` (:443) для любого Host, кроме `sac.kalinamall.ru`. Это защищает от ситуации, когда на IP SAC (например `192.168.160.145`) по ошибке DNS попадает `ext.kalinamall.ru` и открывается форма входа SAC.
+
+Проверка после reload:
+
+```bash
+curl -sS -o /dev/null -w '%{http_code}\n' --resolve sac.kalinamall.ru:443:127.0.0.1 https://sac.kalinamall.ru/health
+# ожидается 200
+
+curl -sS -o /dev/null -w '%{http_code}\n' --resolve ext.kalinamall.ru:443:127.0.0.1 https://ext.kalinamall.ru/ 2>/dev/null || echo "connection closed (444/reject OK)"
+```
+
 Проверка:
 
 ```bash
diff --git a/docs/runbook-ops.md b/docs/runbook-ops.md
index 9699b7b..92e70db 100644
--- a/docs/runbook-ops.md
+++ b/docs/runbook-ops.md
@@ -100,3 +100,5 @@ sudo -u sac bash -lc 'cd /opt/security-alert-center/backend && .venv/bin/python
 **422 на ingest** — см. `Logs/sac-last-post.json` на Windows-агенте; обновить `Sac-Client.ps1` (RDP) или `sac-client.sh` (Linux).
 
 **Устаревший heartbeat** — увеличить `SAC_HEARTBEAT_STALE_MINUTES` или проверить `agent.heartbeat` на хосте.
+
+**Чужой Host на IP SAC (форма SAC на ext.kalinamall.ru)** — в nginx только `server_name sac.kalinamall.ru`; default_server → 444 / `ssl_reject_handshake`. Обновить конфиг из `deploy/nginx/sac.conf.tls.example`, `sudo nginx -t && sudo systemctl reload nginx`. HAProxy на этом не решается — правка на **192.168.160.145** (nginx SAC).