91 lines
3.6 KiB
Desktop File
91 lines
3.6 KiB
Desktop File
[Unit]
|
|
Description=MYP Firewall Configuration Service
|
|
Documentation=https://github.com/MYP-Druckerverwaltung
|
|
After=firewalld.service
|
|
Wants=firewalld.service
|
|
Requires=firewalld.service
|
|
|
|
[Service]
|
|
Type=oneshot
|
|
RemainAfterExit=yes
|
|
User=root
|
|
Group=root
|
|
|
|
# Firewall-Konfiguration für MYP Backend
|
|
ExecStart=/bin/bash -c '\
|
|
# Warte bis firewalld vollständig gestartet ist \
|
|
sleep 5; \
|
|
\
|
|
# Zone definieren (falls nicht vorhanden) \
|
|
firewall-cmd --permanent --new-zone=myp-backend 2>/dev/null || true; \
|
|
\
|
|
# Erweiterte Netzwerk-Quellen definieren (nur IPv4) \
|
|
firewall-cmd --permanent --zone=myp-backend --add-source=192.168.0.0/16; \
|
|
firewall-cmd --permanent --zone=myp-backend --add-source=127.0.0.1/32; \
|
|
\
|
|
# Lokaler Hostname "raspberrypi" hinzufügen \
|
|
LOCAL_HOSTNAME="raspberrypi"; \
|
|
LOCAL_IP=$(getent hosts "$LOCAL_HOSTNAME" | awk "{print \$1}" | grep -E "^[0-9]+\.[0-9]+\.[0-9]+\.[0-9]+$" | head -1 2>/dev/null || true); \
|
|
if [ -n "$LOCAL_IP" ]; then \
|
|
firewall-cmd --permanent --zone=myp-backend --add-source="$LOCAL_IP/32" 2>/dev/null || true; \
|
|
logger "MYP Firewall: Lokaler Hostname $LOCAL_HOSTNAME hinzugefügt: $LOCAL_IP"; \
|
|
else \
|
|
logger "MYP Firewall: Lokaler Hostname $LOCAL_HOSTNAME nicht auflösbar"; \
|
|
fi; \
|
|
\
|
|
# Frontend-Server m040tbaraspi001 hinzufügen (falls auflösbar) \
|
|
FRONTEND_IP=$(getent hosts "m040tbaraspi001" | awk "{print \$1}" | grep -E "^[0-9]+\.[0-9]+\.[0-9]+\.[0-9]+$" | head -1 2>/dev/null || true); \
|
|
if [ -n "$FRONTEND_IP" ]; then \
|
|
firewall-cmd --permanent --zone=myp-backend --add-source="$FRONTEND_IP/32" 2>/dev/null || true; \
|
|
logger "MYP Firewall: Frontend-Server m040tbaraspi001 hinzugefügt: $FRONTEND_IP"; \
|
|
else \
|
|
# Versuche auch mit FQDN \
|
|
FRONTEND_FQDN_IP=$(getent hosts "m040tbaraspi001.de040.corpintra.net" | awk "{print \$1}" | grep -E "^[0-9]+\.[0-9]+\.[0-9]+\.[0-9]+$" | head -1 2>/dev/null || true); \
|
|
if [ -n "$FRONTEND_FQDN_IP" ]; then \
|
|
firewall-cmd --permanent --zone=myp-backend --add-source="$FRONTEND_FQDN_IP/32" 2>/dev/null || true; \
|
|
logger "MYP Firewall: Frontend-Server m040tbaraspi001.de040.corpintra.net hinzugefügt: $FRONTEND_FQDN_IP"; \
|
|
else \
|
|
logger "MYP Firewall: Frontend-Server m040tbaraspi001 nicht auflösbar"; \
|
|
fi; \
|
|
fi; \
|
|
\
|
|
# HTTPS für API & Kiosk \
|
|
firewall-cmd --permanent --zone=myp-backend --add-port=443/tcp; \
|
|
\
|
|
# SSH für Wartung \
|
|
firewall-cmd --permanent --zone=myp-backend --add-service=ssh; \
|
|
\
|
|
# RDP für Remote-Desktop \
|
|
firewall-cmd --permanent --zone=myp-backend --add-port=3389/tcp; \
|
|
\
|
|
# IPv6 in firewalld deaktivieren \
|
|
firewall-cmd --permanent --set-target=DROP --zone=public --family=ipv6 2>/dev/null || true; \
|
|
firewall-cmd --permanent --set-target=DROP --zone=myp-backend --family=ipv6 2>/dev/null || true; \
|
|
\
|
|
# Default-Zone setzen \
|
|
firewall-cmd --set-default-zone=myp-backend; \
|
|
\
|
|
# Änderungen übernehmen \
|
|
firewall-cmd --reload; \
|
|
\
|
|
# Status loggen \
|
|
logger "MYP Firewall: Konfiguration erfolgreich angewendet (IPv6 deaktiviert, Frontend-Server m040tbaraspi001)"; \
|
|
firewall-cmd --list-all-zones | logger -t "MYP-Firewall"; \
|
|
'
|
|
|
|
# Umgebungsvariablen
|
|
Environment=PATH=/usr/local/sbin:/usr/local/bin:/usr/sbin:/usr/bin:/sbin:/bin
|
|
|
|
# Logging
|
|
StandardOutput=journal
|
|
StandardError=journal
|
|
SyslogIdentifier=myp-firewall
|
|
|
|
# Sicherheitseinstellungen
|
|
NoNewPrivileges=true
|
|
PrivateTmp=true
|
|
ProtectSystem=false
|
|
ProtectHome=true
|
|
|
|
[Install]
|
|
WantedBy=multi-user.target |