---
# Ce rôle ne fait que confirmer/maintenir un socle déjà en place sur ce
# serveur (partagé avec d'autres projets) : il n'active PAS ufw depuis
# zéro et ne touche à aucune règle existante en dehors de celles listées
# ici. Reproduire tout le pare-feu depuis ce rôle casserait les autres
# sites hébergés (Forgejo, iot-alarm, voltvision, etc.).

- name: S'assurer que fail2ban est installé et actif
  ansible.builtin.apt:
    name: fail2ban
    state: present

- name: S'assurer que fail2ban est démarré et activé au boot
  ansible.builtin.systemd:
    name: fail2ban
    state: started
    enabled: true

- name: S'assurer que les mises à jour de sécurité automatiques sont actives
  ansible.builtin.apt:
    name: unattended-upgrades
    state: present

- name: S'assurer que ufw est actif (deny incoming par défaut)
  community.general.ufw:
    state: enabled
    policy: deny
    direction: incoming

- name: Autoriser le port WireGuard (règle spécifique à Tripoli Cloud)
  community.general.ufw:
    rule: allow
    port: "{{ wireguard_listen_port }}"
    proto: udp
    comment: "tripoli-cloud : WireGuard admin"

- name: SSH restreint au tunnel WireGuard uniquement
  when: ssh_restrict_to_wireguard
  block:
    - name: Retirer la règle SSH publique (Anywhere)
      community.general.ufw:
        rule: allow
        port: "22"
        proto: tcp
        delete: true

    - name: Autoriser SSH uniquement depuis le sous-réseau WireGuard
      community.general.ufw:
        rule: allow
        port: "22"
        proto: tcp
        src: "{{ wireguard_subnet }}"
        comment: "tripoli-cloud : SSH admin via WireGuard uniquement"