[Unit]
Description=MYP Firewall Configuration Service
Documentation=https://github.com/MYP-Druckerverwaltung
After=firewalld.service
Wants=firewalld.service
Requires=firewalld.service

[Service]
Type=oneshot
RemainAfterExit=yes
User=root
Group=root

# Firewall-Konfiguration für MYP Backend
ExecStart=/bin/bash -c '\
    # Warte bis firewalld vollständig gestartet ist \
    sleep 5; \
    \
    # Zone definieren (falls nicht vorhanden) \
    firewall-cmd --permanent --new-zone=myp-backend 2>/dev/null || true; \
    \
    # Quell-Netzwerk definieren \
    firewall-cmd --permanent --zone=myp-backend --add-source=192.168.0.0/24; \
    \
    # HTTPS für API & Kiosk \
    firewall-cmd --permanent --zone=myp-backend --add-port=443/tcp; \
    \
    # SSH für Wartung \
    firewall-cmd --permanent --zone=myp-backend --add-service=ssh; \
    \
    # RDP für Remote-Desktop \
    firewall-cmd --permanent --zone=myp-backend --add-port=3389/tcp; \
    \
    # Default-Zone setzen \
    firewall-cmd --set-default-zone=myp-backend; \
    \
    # Änderungen übernehmen \
    firewall-cmd --reload; \
    \
    # Status loggen \
    logger "MYP Firewall: Konfiguration erfolgreich angewendet"; \
    firewall-cmd --list-all-zones | logger -t "MYP-Firewall"; \
'

# Umgebungsvariablen
Environment=PATH=/usr/local/sbin:/usr/local/bin:/usr/sbin:/usr/bin:/sbin:/bin

# Logging
StandardOutput=journal
StandardError=journal
SyslogIdentifier=myp-firewall

# Sicherheitseinstellungen
NoNewPrivileges=true
PrivateTmp=true
ProtectSystem=false
ProtectHome=true

[Install]
WantedBy=multi-user.target