ajoute le réseau pour OpenStack : dummy0, paire veth, NAT restreint au réseau externe

Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>

ansible/roles/durcissement/tasks/main.yml

@@ -55,6 +55,14 @@
     mode: "0644"
   notify: redémarrer fail2ban
 
+- name: créer le répertoire des règles nftables additionnelles
+  ansible.builtin.file:
+    path: /etc/nftables.d
+    state: directory
+    owner: root
+    group: root
+    mode: "0750"
+
 - name: déployer le script de retour à l'état d'avant durcissement
   ansible.builtin.template:
     src: durcissement-rollback.sh.j2

ansible/roles/durcissement/templates/nftables.conf.j2

@@ -21,9 +21,22 @@ table inet filter {
 
     chain forward {
         type filter hook forward priority 0; policy drop;
+
+{% if reseau_veth_gw_subnet is defined %}
+        # Un seul sens autorisé : réseau externe OpenStack -> Internet (NAT),
+        # plus les réponses à ce trafic. Rien n'entre depuis Internet vers les
+        # réseaux internes ; tout le reste est refusé par la politique drop.
+        iifname "{{ reseau_veth_gw }}" oifname "{{ reseau_interface_publique }}" ip saddr {{ reseau_veth_gw_subnet }} accept
+        iifname "{{ reseau_interface_publique }}" oifname "{{ reseau_veth_gw }}" ct state established,related accept
+{% endif %}
     }
 
     chain output {
         type filter hook output priority 0; policy accept;
     }
 }
+
+# Autres règles (NAT, etc.), déposées par d'autres rôles. Un glob sans fichier
+# correspondant n'est pas une erreur pour nft : cette ligne ne casse rien tant
+# que /etc/nftables.d/ est vide.
+include "/etc/nftables.d/*.conf"