54 lines
1.6 KiB
YAML
54 lines
1.6 KiB
YAML
|
---
|
||
|
|
# Ce rôle ne fait que confirmer/maintenir un socle déjà en place sur ce
|
||
|
|
# serveur (partagé avec d'autres projets) : il n'active PAS ufw depuis
|
||
|
|
# zéro et ne touche à aucune règle existante en dehors de celles listées
|
||
|
|
# ici. Reproduire tout le pare-feu depuis ce rôle casserait les autres
|
||
|
|
# sites hébergés (Forgejo, iot-alarm, voltvision, etc.).
|
||
|
|
|
||
|
|
- name: S'assurer que fail2ban est installé et actif
|
||
|
|
ansible.builtin.apt:
|
||
|
|
name: fail2ban
|
||
|
|
state: present
|
||
|
|
|
||
|
|
- name: S'assurer que fail2ban est démarré et activé au boot
|
||
|
|
ansible.builtin.systemd:
|
||
|
|
name: fail2ban
|
||
|
|
state: started
|
||
|
|
enabled: true
|
||
|
|
|
||
|
|
- name: S'assurer que les mises à jour de sécurité automatiques sont actives
|
||
|
|
ansible.builtin.apt:
|
||
|
|
name: unattended-upgrades
|
||
|
|
state: present
|
||
|
|
|
||
|
|
- name: S'assurer que ufw est actif (deny incoming par défaut)
|
||
|
|
community.general.ufw:
|
||
|
|
state: enabled
|
||
|
|
policy: deny
|
||
|
|
direction: incoming
|
||
|
|
|
||
|
|
- name: Autoriser le port WireGuard (règle spécifique à Tripoli Cloud)
|
||
|
|
community.general.ufw:
|
||
|
|
rule: allow
|
||
|
|
port: "{{ wireguard_listen_port }}"
|
||
|
|
proto: udp
|
||
|
|
comment: "tripoli-cloud : WireGuard admin"
|
||
|
|
|
||
|
|
- name: SSH restreint au tunnel WireGuard uniquement
|
||
|
|
when: ssh_restrict_to_wireguard
|
||
|
|
block:
|
||
|
|
- name: Retirer la règle SSH publique (Anywhere)
|
||
|
|
community.general.ufw:
|
||
|
|
rule: allow
|
||
|
|
port: "22"
|
||
|
|
proto: tcp
|
||
|
|
delete: true
|
||
|
|
|
||
|
|
- name: Autoriser SSH uniquement depuis le sous-réseau WireGuard
|
||
|
|
community.general.ufw:
|
||
|
|
rule: allow
|
||
|
|
port: "22"
|
||
|
|
proto: tcp
|
||
|
|
src: "{{ wireguard_subnet }}"
|
||
|
|
comment: "tripoli-cloud : SSH admin via WireGuard uniquement"
|