Projeto bot pontos

deploy/botpontos-firewall.service

@@ -0,0 +1,22 @@
+# Restringe a porta 3000 (painel Next.js) ao IP do Nginx Proxy Manager.
+# ARQUITETURA.md, seção 11.4. Instalação no servidor Debian:
+#   1. Trocar IP_DO_NPM abaixo pelo IP real do NPM.
+#   2. Copiar para /etc/systemd/system/botpontos-firewall.service
+#   3. systemctl daemon-reload && systemctl enable --now botpontos-firewall
+#
+# Portas publicadas pelo Docker ignoram ufw/iptables INPUT; por isso a regra
+# vai na cadeia DOCKER-USER, aplicada depois que o Docker sobe.
+
+[Unit]
+Description=Restringe a porta 3000 do Bot de Pontos ao NPM
+After=docker.service
+Requires=docker.service
+
+[Service]
+Type=oneshot
+RemainAfterExit=yes
+Environment=NPM_IP=IP_DO_NPM
+ExecStart=/bin/sh -c 'iptables -C DOCKER-USER -p tcp -m conntrack --ctorigdstport 3000 ! -s $NPM_IP -j DROP 2>/dev/null || iptables -I DOCKER-USER -p tcp -m conntrack --ctorigdstport 3000 ! -s $NPM_IP -j DROP'
+
+[Install]
+WantedBy=multi-user.target