umbau 1.0

ansible/roles/firewall_nftables/templates/jumphost.nft.j2

@@ -42,5 +42,14 @@ table inet filter {
     # ACME/interne PKI (tls_certificates-Rolle) und OS-Paketquellen
     tcp dport 443 accept
     tcp dport 80 accept
+
+    # Befund B5 (Umsetzungsauftrag_Sonnet5.md Teil A.3): ohne diese Zeile
+    # verwirft "policy drop" alles Uebrige lautlos -- z.B. guacds RDP-Pakete
+    # zu einem Ziel ausserhalb von target_networks. Das sieht der Benutzer
+    # nur als "Server timeout" (guacamole-common-js), im Journal steht dazu
+    # nichts. Rate-limitiert geloggt, damit ein Fehlkonfigurationsfall
+    # (falsches/fehlendes target_networks-Netz) in Sekunden statt Tagen
+    # auffaellt, ohne das Journal bei einem Portscan zu fluten.
+    limit rate 10/second log prefix "jumphost-output-drop: " counter drop
   }
 }