2fa16083c3
- Reconnaissance : le serveur héberge déjà 6 autres projets derrière un Caddy partagé (80/443) ; tripoli-edge sera un service interne (décision prise avec l'utilisateur), pas un second frontal. - WireGuard : canal admin Mac <-> serveur (10.100.0.0/24, port 58212/udp après avoir découvert que 51820 était filtré par le pare-feu Hetzner Cloud, distinct de ufw). - Ansible : rôle base (confirme fail2ban/unattended-upgrades/ufw déjà en place, sans toucher aux règles des autres projets) + rôle wireguard (clé privée générée sur la cible, jamais stockée dans ce dépôt). - OpenTofu : serveur Hetzner référencé en data source lecture seule (jamais recréé/détruit - serveur partagé et déjà en prod) ; DNS tripoli.cloud géré via le provider OVH. Co-Authored-By: Claude Sonnet 5 <noreply@anthropic.com>
53 lines
1.6 KiB
YAML
53 lines
1.6 KiB
YAML
---
|
|
# Ce rôle ne fait que confirmer/maintenir un socle déjà en place sur ce
|
|
# serveur (partagé avec d'autres projets) : il n'active PAS ufw depuis
|
|
# zéro et ne touche à aucune règle existante en dehors de celles listées
|
|
# ici. Reproduire tout le pare-feu depuis ce rôle casserait les autres
|
|
# sites hébergés (Forgejo, iot-alarm, voltvision, etc.).
|
|
|
|
- name: S'assurer que fail2ban est installé et actif
|
|
ansible.builtin.apt:
|
|
name: fail2ban
|
|
state: present
|
|
|
|
- name: S'assurer que fail2ban est démarré et activé au boot
|
|
ansible.builtin.systemd:
|
|
name: fail2ban
|
|
state: started
|
|
enabled: true
|
|
|
|
- name: S'assurer que les mises à jour de sécurité automatiques sont actives
|
|
ansible.builtin.apt:
|
|
name: unattended-upgrades
|
|
state: present
|
|
|
|
- name: S'assurer que ufw est actif (deny incoming par défaut)
|
|
community.general.ufw:
|
|
state: enabled
|
|
policy: deny
|
|
direction: incoming
|
|
|
|
- name: Autoriser le port WireGuard (règle spécifique à Tripoli Cloud)
|
|
community.general.ufw:
|
|
rule: allow
|
|
port: "{{ wireguard_listen_port }}"
|
|
proto: udp
|
|
comment: "tripoli-cloud : WireGuard admin"
|
|
|
|
- name: SSH restreint au tunnel WireGuard uniquement
|
|
when: ssh_restrict_to_wireguard
|
|
block:
|
|
- name: Retirer la règle SSH publique (Anywhere)
|
|
community.general.ufw:
|
|
rule: allow
|
|
port: "22"
|
|
proto: tcp
|
|
delete: true
|
|
|
|
- name: Autoriser SSH uniquement depuis le sous-réseau WireGuard
|
|
community.general.ufw:
|
|
rule: allow
|
|
port: "22"
|
|
proto: tcp
|
|
src: "{{ wireguard_subnet }}"
|
|
comment: "tripoli-cloud : SSH admin via WireGuard uniquement"
|