---
# Default-Deny-Firewall (Konzept 6.7). Eingehend nur admin-SSH (aus dem
# Management-Netz) und der oeffentliche App-/nginx-Port; ausgehend nur zu den
# definierten Zielsystem-Netzen sowie DNS/NTP.

- name: nftables installieren
  ansible.builtin.apt:
    name: nftables
    state: present
    update_cache: true

- name: nftables-Regelsatz ausrollen
  ansible.builtin.template:
    src: jumphost.nft.j2
    dest: /etc/nftables.conf
    owner: root
    group: root
    mode: "0640"
  notify: reload nftables

- name: nftables aktivieren und starten
  ansible.builtin.service:
    name: nftables
    state: started
    enabled: true