8f70c2aae7
- tripoli-edge (hyper/tokio bas niveau, pas de framework type axum) : /healthz, /metrics (Prometheus, compteurs à la main), reverse-proxy vers tripoli-api avec vrais 502 tant que ce service n'existe pas (Phase 3), logs JSON structurés par requête. - Écoute sur 127.0.0.1 + 172.17.0.1 (passerelle docker0), jamais sur l'interface publique - même pattern que le Nginx de VoltVision déjà sur ce serveur. - Déployé en prod : systemd (utilisateur système dédié, sans privilège), bloc Caddy ajouté pour tripoli.cloud/www.tripoli.cloud, règle ufw ajoutée (Ansible) pour que Caddy puisse joindre le port 9000 - sans quoi le chemin INPUT de l'hôte bloque le trafic inter-bridges même vers 172.17.0.1. - Vérifié bout-en-bout via https://tripoli.cloud, sans régression sur les 6 autres domaines déjà servis par ce Caddy. Co-Authored-By: Claude Sonnet 5 <noreply@anthropic.com>
66 lines
2.2 KiB
YAML
66 lines
2.2 KiB
YAML
---
|
|
# Ce rôle ne fait que confirmer/maintenir un socle déjà en place sur ce
|
|
# serveur (partagé avec d'autres projets) : il n'active PAS ufw depuis
|
|
# zéro et ne touche à aucune règle existante en dehors de celles listées
|
|
# ici. Reproduire tout le pare-feu depuis ce rôle casserait les autres
|
|
# sites hébergés (Forgejo, iot-alarm, voltvision, etc.).
|
|
|
|
- name: S'assurer que fail2ban est installé et actif
|
|
ansible.builtin.apt:
|
|
name: fail2ban
|
|
state: present
|
|
|
|
- name: S'assurer que fail2ban est démarré et activé au boot
|
|
ansible.builtin.systemd:
|
|
name: fail2ban
|
|
state: started
|
|
enabled: true
|
|
|
|
- name: S'assurer que les mises à jour de sécurité automatiques sont actives
|
|
ansible.builtin.apt:
|
|
name: unattended-upgrades
|
|
state: present
|
|
|
|
- name: S'assurer que ufw est actif (deny incoming par défaut)
|
|
community.general.ufw:
|
|
state: enabled
|
|
policy: deny
|
|
direction: incoming
|
|
|
|
- name: Autoriser le port WireGuard (règle spécifique à Tripoli Cloud)
|
|
community.general.ufw:
|
|
rule: allow
|
|
port: "{{ wireguard_listen_port }}"
|
|
proto: udp
|
|
comment: "tripoli-cloud : WireGuard admin"
|
|
|
|
- name: Autoriser Caddy à joindre tripoli-edge (172.17.0.1:9000)
|
|
# Même contrainte que la règle 8090/tcp de voltvision déjà en place :
|
|
# une requête du conteneur Caddy (réseau "edge", 172.19.0.0/16) vers
|
|
# 172.17.0.1 (passerelle docker0) passe par la chaîne INPUT de l'hôte,
|
|
# pas FORWARD - ufw la bloque par défaut même si tripoli-edge écoute
|
|
# bien sur cette adresse.
|
|
community.general.ufw:
|
|
rule: allow
|
|
from_ip: "172.16.0.0/12"
|
|
port: "9000"
|
|
proto: tcp
|
|
comment: "tripoli-cloud : Caddy -> tripoli-edge"
|
|
|
|
- name: SSH restreint au tunnel WireGuard uniquement
|
|
when: ssh_restrict_to_wireguard
|
|
block:
|
|
- name: Retirer la règle SSH publique (Anywhere)
|
|
community.general.ufw:
|
|
rule: allow
|
|
port: "22"
|
|
proto: tcp
|
|
delete: true
|
|
|
|
- name: Autoriser SSH uniquement depuis le sous-réseau WireGuard
|
|
community.general.ufw:
|
|
rule: allow
|
|
port: "22"
|
|
proto: tcp
|
|
src: "{{ wireguard_subnet }}"
|
|
comment: "tripoli-cloud : SSH admin via WireGuard uniquement"
|