#!/bin/sh
# Ansible managed
# N'autorise que le WAF (et les sources listées) à joindre les ports publiés
# des applis. Les règles vont dans DOCKER-USER, consultée par Docker avant
# ses propres règles ; --ctorigdstport filtre sur le port publié (avant DNAT).
set -eu
IFACE="ens18"
PORTS="8081:8083"

iptables -N BWPOC 2>/dev/null || iptables -F BWPOC
iptables -A BWPOC -s 192.168.200.155 -j RETURN
iptables -A BWPOC -j DROP

RULE="-i $IFACE -p tcp -m conntrack --ctstate NEW --ctorigdstport $PORTS -j BWPOC"
# shellcheck disable=SC2086
iptables -C DOCKER-USER $RULE 2>/dev/null || iptables -I DOCKER-USER $RULE