PoC BunkerWeb 1.6.17 : docker-compose sur Proxmox, déployé par Ansible

Stack BunkerWeb (scheduler, UI, MariaDB, Redis), sites de test (nginx,
Juice Shop, go-httpbin), filtrage DOCKER-USER, script de tests, README
et schéma d'architecture.

Co-Authored-By: Claude Opus 5.5 (1M context) <noreply@anthropic.com>

examples/split/bwpoc-firewall.sh

@@ -0,0 +1,16 @@
+#!/bin/sh
+# Ansible managed
+# N'autorise que le WAF (et les sources listées) à joindre les ports publiés
+# des applis. Les règles vont dans DOCKER-USER, consultée par Docker avant
+# ses propres règles ; --ctorigdstport filtre sur le port publié (avant DNAT).
+set -eu
+IFACE="ens18"
+PORTS="8081:8083"
+
+iptables -N BWPOC 2>/dev/null || iptables -F BWPOC
+iptables -A BWPOC -s 192.168.200.61 -j RETURN
+iptables -A BWPOC -j DROP
+
+RULE="-i $IFACE -p tcp -m conntrack --ctstate NEW --ctorigdstport $PORTS -j BWPOC"
+# shellcheck disable=SC2086
+iptables -C DOCKER-USER $RULE 2>/dev/null || iptables -I DOCKER-USER $RULE