---
# Ce rôle ne fait que confirmer/maintenir un socle déjà en place sur ce
# serveur (partagé avec d'autres projets) : il n'active PAS ufw depuis
# zéro et ne touche à aucune règle existante en dehors de celles listées
# ici. Reproduire tout le pare-feu depuis ce rôle casserait les autres
# sites hébergés (Forgejo, iot-alarm, voltvision, etc.).

- name: S'assurer que fail2ban est installé et actif
  ansible.builtin.apt:
    name: fail2ban
    state: present

- name: S'assurer que fail2ban est démarré et activé au boot
  ansible.builtin.systemd:
    name: fail2ban
    state: started
    enabled: true

- name: S'assurer que les mises à jour de sécurité automatiques sont actives
  ansible.builtin.apt:
    name: unattended-upgrades
    state: present

- name: S'assurer que ufw est actif (deny incoming par défaut)
  community.general.ufw:
    state: enabled
    policy: deny
    direction: incoming

- name: Autoriser le port WireGuard (règle spécifique à Tripoli Cloud)
  community.general.ufw:
    rule: allow
    port: "{{ wireguard_listen_port }}"
    proto: udp
    comment: "tripoli-cloud : WireGuard admin"

- name: Autoriser Caddy à joindre tripoli-edge (172.17.0.1:9000)
  # Même contrainte que la règle 8090/tcp de voltvision déjà en place :
  # une requête du conteneur Caddy (réseau "edge", 172.19.0.0/16) vers
  # 172.17.0.1 (passerelle docker0) passe par la chaîne INPUT de l'hôte,
  # pas FORWARD - ufw la bloque par défaut même si tripoli-edge écoute
  # bien sur cette adresse.
  community.general.ufw:
    rule: allow
    from_ip: "172.16.0.0/12"
    port: "9000"
    proto: tcp
    comment: "tripoli-cloud : Caddy -> tripoli-edge"

- name: SSH restreint au tunnel WireGuard uniquement
  when: ssh_restrict_to_wireguard
  block:
    - name: Retirer la règle SSH publique (Anywhere)
      community.general.ufw:
        rule: allow
        port: "22"
        proto: tcp
        delete: true

    - name: Autoriser SSH uniquement depuis le sous-réseau WireGuard
      community.general.ufw:
        rule: allow
        port: "22"
        proto: tcp
        src: "{{ wireguard_subnet }}"
        comment: "tripoli-cloud : SSH admin via WireGuard uniquement"