---

# ===
# Install/Uodate git firewall repository
# ===

#- meta: end_play
#  when: 
#    - inventory_hostname in groups['gateway_server'] or inventory_hostname in groups['no_ipt_firewall'] or git_firewall_repository is not defined or git_firewall_repository|length < 1


- name: Install/update firewall repository
  git:
    repo: '{{ git_firewall_repository.repo }}'
    dest: '{{ git_firewall_repository.dest }}'
  when: git_firewall_repository is defined and git_firewall_repository|length > 0



# ===
# Some Checks
# ===

- name: Check if file '/etc/ipt-firewall/main_ipv6.conf' exists
  stat:
    path: /etc/ipt-firewall/main_ipv6.conf
  register: main_ipv6_exists

- name: Check if file '/etc/ipt-firewall/main_ipv4.conf' exists
  stat:
    path: /etc/ipt-firewall/main_ipv4.conf
  register: main_ipv4_exists

- name: Check if file '/etc/ipt-firewall/interfaces_ipv6.conf' exists
  stat:
    path: /etc/ipt-firewall/interfaces_ipv6.conf
  register: interfaces_ipv6_exists

- name: Check if file '/etc/ipt-firewall/interfaces_ipv4.conf' exists
  stat:
    path: /etc/ipt-firewall/interfaces_ipv4.conf
  register: interfaces_ipv4_exists

- name: Check if file '/etc/munin/munin-node.conf' exists
  stat:
    path: /etc/munin/munin-node.conf
  register: munin_node_exists



# ===
# Adjust/Correct some values..
# ===

- name: addjust line 'munin_remote_ip' (IPv4)
  lineinfile:
    path: /etc/ipt-firewall/main_ipv4.conf
    regexp: '^munin_remote_ip='
    line: 'munin_remote_ip="{{ munin_remote_ipv4 }}"'
  when: 
      - main_ipv4_exists.stat.exists
  notify:
    - Restart IPv4 Firewall

- name: addjust line 'munin_remote_ip' (IPv6)
  lineinfile:
    path: /etc/ipt-firewall/main_ipv6.conf
    regexp: '^munin_remote_ip='
    line: 'munin_remote_ip="{{ munin_remote_ipv6 }}"'
  when: 
      - main_ipv6_exists.stat.exists
  notify:
    - Restart IPv6 Firewall

- name: addjust line 'vpn_ifs' (IPv4)
  lineinfile:
    path: /etc/ipt-firewall/interfaces_ipv4.conf
    regexp: '^vpn_ifs='
    line: 'vpn_ifs="tun+"'
  when: 
      - interfaces_ipv4_exists.stat.exists
  notify:
    - Restart IPv4 Firewall

- name: addjust line 'vpn_ifs' (IPv6)
  lineinfile:
    path: /etc/ipt-firewall/interfaces_ipv6.conf
    regexp: '^vpn_ifs='
    line: 'vpn_ifs="tun+"'
  when: 
      - interfaces_ipv6_exists.stat.exists
  notify:
    - Restart IPv6 Firewall



# ===
# Add some Code Block.
# ===

# ---
# Add support for MNDP and mDNS Traffic
# ---

- name: Check if String 'drop_mndp=..' is present
  shell: grep -q -E "^drop_mndp=" /etc/ipt-firewall/main_ipv4.conf
  register: drop_mndp_ipv4_present
  when: main_ipv4_exists.stat.exists
  failed_when: "drop_mndp_ipv4_present.rc > 1"
  changed_when: "drop_mndp_ipv4_present.rc > 0"

- name: Adjust file '/etc/ipt-firewall/main_ipv4.conf' (drop_mndp)
  blockinfile:
    path: /etc/ipt-firewall/main_ipv4.conf
    insertafter: '^#?\s*drop_icmp'
    block: |

      # -------------
      # --- Drop Mikrotik RouterOS Neighbor Discovery Protocol (MNDP) Traffic
      # --- Drop Tinc VPN Traffic
      # -------------

      # Tinc VPN Traffic / Mikrotik RouterOS Neighbor Discovery Protocol (MNDP) Traffic
      #
      # Der UDP-Port 5678 wird üblicherweise von Tinc VPN verwendet. Tinc ist ein
      # Open-Source-VPN-Softwarepaket, das für die Erstellung von Virtual Private
      # Networks (VPNs) eingesetzt wird, bei denen Netzwerke über das Internet oder
      # andere unsichere Netzwerke miteinander verbunden werden. Es nutzt diesen
      # Port, um Verbindungen zwischen den Knoten (Nodes) des VPNs zu ermöglichen.
      #
      # Der UDP-Port 5678 wird auch von MikroTik RouterOS Neighbor Discovery Protocol
      # (NDP) verwendet. Dieses Protokoll wird von MikroTik-Routern eingesetzt, um
      # benachbarte Geräte im Netzwerk zu entdecken und automatisch zu erkennen. Es
      # hilft dabei, die Kommunikation zwischen MikroTik-Geräten zu erleichtern, ohne
      # dass eine manuelle IP-Konfiguration erforderlich ist.
      #
      # MikroTik Neighbor Discovery über UDP-Port 5678 ist speziell darauf ausgelegt,
      # Router und Geräte im selben lokalen Netzwerk (LAN) zu identifizieren und
      # Informationen über benachbarte MikroTik-Geräte auszutauschen. Dies ist besonders
      # nützlich für die Verwaltung und Konfiguration von MikroTik-Geräten im Netzwerk.
      #
      # Zusammengefasst:
      # Der UDP-Port 5678 wird sowohl für MikroTik RouterOS Neighbor Discovery als auch
      # für Tinc VPN verwendet, je nachdem, welche Technologie zum Einsatz kommt.
      #
      drop_mndp=true


      # -------------
      # --- Drop Multicast DNS Traffic
      # -------------

      # Multicast Domain Name System (mDNS) protocol
      #
      # UDP Port 5353/
      #
      # Der UDP-Port 5353 wird hauptsächlich für Multicast DNS (mDNS) verwendet.
      # mDNS ist ein Protokoll, das es Geräten ermöglicht, sich im lokalen Netzwerk
      # selbst zu identifizieren und ohne zentrale DNS-Server Namen zu registrieren
      # und aufzulösen. Dies wird häufig in lokalen Netzwerken eingesetzt, z.B. bei
      # Geräten, die mit Apple's Bonjour oder Avahi (einer Open-Source-Implementierung
      # von mDNS) kommunizieren.
      #
      # UDP port 5353 is mainly used for multicast DNS (mDNS). mDNS is a protocol that
      # allows devices to identify themselves on the local network and register and
      # resolve names without central DNS servers. This is often used in local
      # networks, e.g. for devices that communicate using Apple's Bonjour or Avahi
      # (an open-source implementation of mDNS).
      #
      drop_mdns=true
    marker: "# Marker set by modify-ipt-server.yml (drop_mndp)"
  when:
    - main_ipv4_exists.stat.exists
    - drop_mndp_ipv4_present is changed
  notify:
    - Restart IPv4 Firewall


- name: Check if String 'drop_mndp=..' is present
  shell: grep -q -E "^drop_mndp=" /etc/ipt-firewall/main_ipv6.conf
  register: drop_mndp_ipv6_present
  when: main_ipv6_exists.stat.exists
  failed_when: "drop_mndp_ipv6_present.rc > 1"
  changed_when: "drop_mndp_ipv6_present.rc > 0"

- name: Adjust file '/etc/ipt-firewall/main_ipv6.conf' (drop_mndp)
  blockinfile:
    path: /etc/ipt-firewall/main_ipv6.conf
    insertafter: '^#?\s*drop_icmp'
    block: |

      # -------------
      # --- Drop Mikrotik RouterOS Neighbor Discovery Protocol (MNDP) Traffic
      # --- Drop Tinc VPN Traffic
      # -------------

      # Tinc VPN Traffic / Mikrotik RouterOS Neighbor Discovery Protocol (MNDP) Traffic
      #
      # Der UDP-Port 5678 wird üblicherweise von Tinc VPN verwendet. Tinc ist ein
      # Open-Source-VPN-Softwarepaket, das für die Erstellung von Virtual Private
      # Networks (VPNs) eingesetzt wird, bei denen Netzwerke über das Internet oder
      # andere unsichere Netzwerke miteinander verbunden werden. Es nutzt diesen
      # Port, um Verbindungen zwischen den Knoten (Nodes) des VPNs zu ermöglichen.
      #
      # Der UDP-Port 5678 wird auch von MikroTik RouterOS Neighbor Discovery Protocol
      # (NDP) verwendet. Dieses Protokoll wird von MikroTik-Routern eingesetzt, um
      # benachbarte Geräte im Netzwerk zu entdecken und automatisch zu erkennen. Es
      # hilft dabei, die Kommunikation zwischen MikroTik-Geräten zu erleichtern, ohne
      # dass eine manuelle IP-Konfiguration erforderlich ist.
      #
      # MikroTik Neighbor Discovery über UDP-Port 5678 ist speziell darauf ausgelegt,
      # Router und Geräte im selben lokalen Netzwerk (LAN) zu identifizieren und
      # Informationen über benachbarte MikroTik-Geräte auszutauschen. Dies ist besonders
      # nützlich für die Verwaltung und Konfiguration von MikroTik-Geräten im Netzwerk.
      #
      # Zusammengefasst:
      # Der UDP-Port 5678 wird sowohl für MikroTik RouterOS Neighbor Discovery als auch
      # für Tinc VPN verwendet, je nachdem, welche Technologie zum Einsatz kommt.
      #
      drop_mndp=true


      # -------------
      # --- Drop Multicast DNS Traffic
      # -------------

      # Multicast Domain Name System (mDNS) protocol
      #
      # UDP Port 5353/
      #
      # Der UDP-Port 5353 wird hauptsächlich für Multicast DNS (mDNS) verwendet.
      # mDNS ist ein Protokoll, das es Geräten ermöglicht, sich im lokalen Netzwerk
      # selbst zu identifizieren und ohne zentrale DNS-Server Namen zu registrieren
      # und aufzulösen. Dies wird häufig in lokalen Netzwerken eingesetzt, z.B. bei
      # Geräten, die mit Apple's Bonjour oder Avahi (einer Open-Source-Implementierung
      # von mDNS) kommunizieren.
      #
      # UDP port 5353 is mainly used for multicast DNS (mDNS). mDNS is a protocol that
      # allows devices to identify themselves on the local network and register and
      # resolve names without central DNS servers. This is often used in local
      # networks, e.g. for devices that communicate using Apple's Bonjour or Avahi
      # (an open-source implementation of mDNS).
      #
      drop_mdns=true
    marker: "# Marker set by modify-ipt-server.yml (drop_mndp)"
  when:
    - main_ipv6_exists.stat.exists
    - drop_mndp_ipv6_present is changed
  notify:
    - Restart IPv6 Firewall


# ===
# Remove Marker set by blockinfile
# ===

- name: Remove marker IPv4
  replace :
    path: /etc/ipt-firewall/main_ipv4.conf
    regexp: "^# Marker set by modify-ipt-server.yml.*$"
    replace: ""
  register: marker_ipv4_removed
  #failed_when: "marker_ipv4_removed.rc > 1"
  #changed_when: "marker_ipv4_removed.rc < 1"
  when: 
    - main_ipv4_exists.stat.exists

- name: Remove marker IPv6
  replace :
    path: /etc/ipt-firewall/main_ipv6.conf
    regexp: "^# Marker set by modify-ipt-server.yml.*$"
    replace: ""
  register: marker_ipv6_removed
  #failed_when: "marker_ipv6_removed.rc > 1"
  #changed_when: "marker_ipv6_removed.rc < 1"
  when: 
    - main_ipv6_exists.stat.exists

- name: Remove marker IPv4 from interfaces_ipv4.conf
  replace :
    path: /etc/ipt-firewall/interfaces_ipv4.conf
    regexp: "^# Marker set by modify-ipt-server.yml.*$"
    replace: ""
  when: 
    - interfaces_ipv4_exists.stat.exists

- name: Remove marker IPv6 from interfaces_ipv6.conf
  replace :
    path: /etc/ipt-firewall/interfaces_ipv6.conf
    regexp: "^# Marker set by modify-ipt-server.yml.*$"
    replace: ""
  when: 
    - interfaces_ipv6_exists.stat.exists



# ===
# Add Code Line.
# ===


# ---
# Per IP Connection Limit (add a line)
# ---

- name: Check if String 'per_IP_connection_limit=..' is present
  shell: grep -q -E "^per_IP_connection_limit=" /etc/ipt-firewall/main_ipv4.conf
  register: per_ip_connection_limit_settings_ipv4_present
  when: main_ipv4_exists.stat.exists
  failed_when: "per_ip_connection_limit_settings_ipv4_present.rc > 1"
  changed_when: "per_ip_connection_limit_settings_ipv4_present.rc > 0"

- name: Adjust file '/etc/ipt-firewall/main_ipv4.conf' (protect_settings)
  lineinfile:
    path: /etc/ipt-firewall/main_ipv4.conf
    insertafter: '^#?\s*limit_connections_per_source_IP'
    line: per_IP_connection_limit=$default_per_IP_connection_limit
  when:
    - main_ipv4_exists.stat.exists
    - per_ip_connection_limit_settings_ipv4_present is changed
  notify:
    - Restart IPv4 Firewall


- name: Check if String 'per_IP_connection_limit=..' is present
  shell: grep -q -E "^per_IP_connection_limit=" /etc/ipt-firewall/main_ipv6.conf
  register: per_ip_connection_limit_settings_ipv6_present
  when: main_ipv6_exists.stat.exists
  failed_when: "per_ip_connection_limit_settings_ipv6_present.rc > 1"
  changed_when: "per_ip_connection_limit_settings_ipv6_present.rc > 0"

- name: Adjust file '/etc/ipt-firewall/main_ipv6.conf' (protect_settings)
  lineinfile:
    dest: /etc/ipt-firewall/main_ipv6.conf
    insertafter: '^#?\s*limit_connections_per_source_IP'
    line: per_IP_connection_limit=$default_per_IP_connection_limit
  when:
    - main_ipv6_exists.stat.exists
    - per_ip_connection_limit_settings_ipv6_present is changed
  notify:
    - Restart IPv6 Firewall



# ===
# Confiuration Files
# ===

- name: Check if configuration files are latest
  shell: 'diff {{ git_firewall_repository.dest }}/conf/{{ item }} /etc/ipt-firewall/{{ item }} > /dev/null 2>&1'
  changed_when: "diff_script_output.rc > 0"
  # diff_output.rc
  #    0  -> unchanged
  #    1  -> changed
  #    2  -> not present
  failed_when: "diff_script_output.rc > 2"
  when: 
    - git_firewall_repository is defined and git_firewall_repository|length > 0
  loop:
     - default_settings.conf
     - include_functions.conf
     - load_modules_ipv4.conf
     - load_modules_ipv6.conf
     - logging_ipv4.conf
     - logging_ipv6.conf
     - post_decalrations.conf
  register: diff_script_output

- name: Ensure configuration files are latest
  command: cp {{ git_firewall_repository.dest }}/conf/{{ item }} /etc/ipt-firewall/{{ item }}
  loop:
     - default_settings.conf
     - include_functions.conf
     - load_modules_ipv4.conf
     - load_modules_ipv6.conf
     - logging_ipv4.conf
     - logging_ipv6.conf
     - post_decalrations.conf
  when:
    - git_firewall_repository is defined and git_firewall_repository|length > 0
    - diff_script_output.changed
  notify:
    - Restart IPv4 Firewall
    - Restart IPv6 Firewall



# ===
# Firewall scripts
# ===

- name: Check if firewall scripts are latest
  shell: 'diff {{ git_firewall_repository.dest }}/{{ item }} /usr/local/sbin/{{ item }} > /dev/null 2>&1'
  changed_when: "diff_script_output.rc > 0"
  # diff_output.rc
  #    0  -> unchanged
  #    1  -> changed
  #    2  -> not present
  failed_when: "diff_script_output.rc > 2"
  when: 
    - git_firewall_repository is defined and git_firewall_repository|length > 0
  loop:
     - ipt-firewall-server
     - ip6t-firewall-server
  register: diff_script_output

- name: Ensure firewall scripts are latest
  command: cp {{ git_firewall_repository.dest }}/{{ item }} /usr/local/sbin/{{ item }}
  loop:
     - ipt-firewall-server
     - ip6t-firewall-server
  when:
    - git_firewall_repository is defined and git_firewall_repository|length > 0
    - diff_script_output.changed
  notify:
    - Restart IPv4 Firewall
    - Restart IPv6 Firewall



# ===
# Delete files that are no longer required
# ===

- name: Delete file '/etc/ipt-firewall/default_ports.conf' ..
  file:
    state: absent
    path: /etc/ipt-firewall/default_ports.conf

- name: Delete file '/etc/ipt-firewall/ports.conf' ..
  file:
    state: absent
    path: /etc/ipt-firewall/ports.conf

