IPwhitelist

#!/bin/bash
set -euo pipefail

###############################################################################
# KONFIGURATION
###############################################################################

API_TOKEN="TOKEN-HERE"
FIREWALL_NAME="firewall-1"

RULE_DESCRIPTION="ALLOW-MY-PUBLIC-IP ON"

# Format: "PORT:PROTOCOL"  z.B. "22:tcp" "53:udp"
# Für ICMP einfach "icmp" eintragen
PORTS_PROTO=("22:tcp" "80:tcp" "443:tcp")

USE_IPV6=false   # true = öffentliche IPv6 verwenden, sonst IPv4

###############################################################################
# AB HIER KEINE ANPASSUNGEN NOTWENDIG
###############################################################################

HCLOUD_API="https://api.hetzner.cloud/v1"
REQUIRED_CMDS=("curl" "jq")

die() { echo "ERROR: $*" >&2; exit 1; }

check_dependencies() {
    MISSING=()

    for cmd in "${REQUIRED_CMDS[@]}"; do
        if ! command -v "$cmd" >/dev/null 2>&1; then
            MISSING+=("$cmd")
        fi
    done

    if [ ${#MISSING[@]} -ne 0 ]; then
        echo "Missing dependencies: ${MISSING[*]}"
        read -p "Install missing packages? (y/n): " CONFIRM
        CONFIRM="${CONFIRM:-Y}"

        if [[ "$CONFIRM" =~ ^[Yy]$ ]]; then
            if command -v apt >/dev/null 2>&1; then
                sudo apt update
                sudo apt install -y "${MISSING[@]}"
            else
                die "Package Manager not supported"
            fi
        else
            die "Aborted due to missing dependencies"
        fi
    fi
}

check_dependencies

[[ -n "$API_TOKEN" ]]        || die "API_TOKEN not set"
[[ -n "$FIREWALL_NAME" ]]    || die "FIREWALL_NAME not set"
[[ -n "$RULE_DESCRIPTION" ]] || die "RULE_DESCRIPTION not set"

auth_hdr=(-H "Authorization: Bearer ${API_TOKEN}" -H "Content-Type: application/json")

###############################################################################
# Öffentliche IP ermitteln
###############################################################################

if [[ "$USE_IPV6" == "true" ]]; then
  PUBLIC_IP="$(curl -fsS https://api6.ipify.org)"
else
  PUBLIC_IP="$(curl -fsS https://api.ipify.org)"
fi

[[ -n "$PUBLIC_IP" ]] || die "Failed to determine public IP"

if [[ "$PUBLIC_IP" == *:* ]]; then
  IP_CIDR="${PUBLIC_IP}/128"
else
  IP_CIDR="${PUBLIC_IP}/32"
fi

###############################################################################
# Firewall abrufen
###############################################################################

fw_resp="$(curl --silent "${auth_hdr[@]}" \
  "${HCLOUD_API}/firewalls?name=$(printf %s "$FIREWALL_NAME" | jq -sRr @uri)")"

if [[ "$(echo "$fw_resp" | jq -r '.error.code? // empty')" != "" ]]; then
  echo "$fw_resp" >&2
  die "Hetzner API error while querying firewall"
fi

fw_id="$(echo "$fw_resp" | jq -r '.firewalls[0].id // empty')"
[[ -n "$fw_id" && "$fw_id" != "null" ]] || die "Firewall not found: $FIREWALL_NAME"

orig_rules="$(echo "$fw_resp" | jq '.firewalls[0].rules // []')"

###############################################################################
# Desired Rules erzeugen (PORT:PROTO Format)
###############################################################################

desired_rules="$(jq -n \
  --arg dir "in" \
  --arg desc "$RULE_DESCRIPTION" \
  --arg ip "$IP_CIDR" \
  --argjson pp "$(printf '%s\n' "${PORTS_PROTO[@]}" | jq -R . | jq -s .)" \
  '
  $pp
  | map(
      if . == "icmp" then
        {
          direction: $dir,
          protocol: "icmp",
          description: ($desc + " icmp"),
          port: null,
          source_ips: [$ip]
        }
      else
        (split(":")) as $x
        | if ($x | length) != 2 then
            error("Invalid PORTS_PROTO format. Expected PORT:PROTO")
          else
            {
              direction: $dir,
              protocol: ($x[1] | ascii_downcase),
              description: ($desc + " " + $x[0] + "/" + ($x[1] | ascii_downcase)),
              port: $x[0],
              source_ips: [$ip]
            }
          end
      end
    )
  ')"

###############################################################################
# Bestehende Regeln überschreiben (anhand description)
###############################################################################

new_rules="$(jq -n \
  --argjson rules "$orig_rules" \
  --argjson desired "$desired_rules" \
  '
  def is_target($r):
    ($desired | map(.description) | index($r.description)) != null
    and ($r.direction? // "") == "in";

  ($rules | map(select(is_target(.) | not))) + $desired
  ')"

###############################################################################
# Wenn keine Änderung → Exit
###############################################################################

if jq -e -n --argjson a "$orig_rules" --argjson b "$new_rules" '$a == $b' >/dev/null; then
  echo "No changes needed (rule already matches current public IP: ${IP_CIDR})."
  exit 0
fi

###############################################################################
# Rules setzen
###############################################################################

set_resp="$(curl --silent -X POST "${auth_hdr[@]}" \
  -d "$(jq -n --argjson rules "$new_rules" '{rules:$rules}')" \
  "${HCLOUD_API}/firewalls/${fw_id}/actions/set_rules")"

if [[ "$(echo "$set_resp" | jq -r '.error.code? // empty')" != "" ]]; then
  echo "$set_resp" >&2
  die "Failed to update firewall rules"
fi

echo "OK: ${#PORTS_PROTO[@]} rule(s) updated for ${IP_CIDR} on firewall '${FIREWALL_NAME}'"