install.sh

#!/usr/bin/env bash
set -euo pipefail

########################################
# ENV INPUT (ONLY SOURCE OF CONFIG)
########################################
ROLE=${ROLE:-relay}
RELAY_IP=${RELAY_IP:-}
BACKEND_IP=${BACKEND_IP:-}

########################################
# SAFETY MODE
########################################
SAFE_MODE=${SAFE_MODE:-1}

log() { echo "[+] $1"; }
warn() { echo "[!] $1"; }

########################################
# AUTO SSH DETECT
########################################
detect_ssh_port() {
    systemctl list-units --type=socket | grep -q ssh.socket && {
        systemctl show ssh.socket -p Listen | awk -F= '{print $2}' | grep -oE '[0-9]+' && return
    }

    ss -tlnp 2>/dev/null | awk '/sshd/ {
        for(i=1;i<=NF;i++){
            if($i ~ /:/){
                split($i,a,":");
                print a[length(a)];
                exit
            }
        }
    }'

    echo 22
}

SSH_PORT=$(detect_ssh_port)

########################################
# AUTO INTERFACE
########################################
IFACE=$(ip route get 1.1.1.1 | awk '{print $5; exit}')

########################################
# INSTALL BASE
########################################
apt update -qq
apt install -y nftables ufw fail2ban curl

systemctl enable nftables fail2ban

########################################
# SSH SOCKET CONFIG (NO INPUT)
########################################
mkdir -p /etc/systemd/system/ssh.socket.d

cat <<EOF > /etc/systemd/system/ssh.socket.d/override.conf
[Socket]
ListenStream=
ListenStream=${SSH_PORT}
EOF

systemctl daemon-reexec
systemctl restart ssh.socket

ufw allow ${SSH_PORT}/tcp

########################################
# VALIDATION LAYER (IMPORTANT)
########################################
validate() {

    if [[ "$ROLE" == "relay" && -z "$BACKEND_IP" ]]; then
        warn "Relay mode but BACKEND_IP is empty"
        return 1
    fi

    if [[ "$ROLE" == "backend" && -z "$RELAY_IP" ]]; then
        warn "Backend mode but RELAY_IP is empty"
        return 1
    fi

    return 0
}

########################################
# RELAY CONFIG
########################################
apply_relay() {

log "Setting up RELAY..."

cat <<EOF > /etc/nftables.d/relay.nft
table ip relay {

    chain prerouting {
        type nat hook prerouting priority -100;

        tcp dport 443 dnat to $BACKEND_IP:443
        udp dport 8443 dnat to $BACKEND_IP:8443
    }

    chain postrouting {
        type nat hook postrouting priority 100;
        oif "$IFACE" ip daddr $BACKEND_IP masquerade
    }
}
EOF

}

########################################
# BACKEND CONFIG
########################################
apply_backend() {

log "Setting up BACKEND..."

ufw default deny incoming
ufw default allow outgoing

ufw allow from $RELAY_IP to any port 443
ufw allow from $RELAY_IP to any port 8443
ufw allow ${SSH_PORT}/tcp

}

########################################
# SAFE APPLY SYSTEM
########################################
apply_changes() {

if [[ "$ROLE" == "relay" ]]; then
    apply_relay
fi

if [[ "$ROLE" == "backend" ]]; then
    apply_backend
fi

grep -q "nftables.d" /etc/nftables.conf || \
echo 'include "/etc/nftables.d/*.nft"' >> /etc/nftables.conf

nft -f /etc/nftables.conf

if [[ "$ROLE" == "backend" ]]; then
    ufw --force enable
fi

}

########################################
# MAIN FLOW
########################################
log "ROLE=$ROLE"
log "SSH_PORT=$SSH_PORT"
log "IFACE=$IFACE"

if validate; then
    log "Validation OK"
else
    warn "Validation FAILED"
    warn "SAFE MODE prevents applying changes"
    exit 1
fi

if [[ "$SAFE_MODE" == "1" ]]; then
    log "SAFE MODE ENABLED"
    log "Applying changes with rollback safety..."
fi

apply_changes

########################################
# DONE
########################################
echo "=============================="
echo "DEPLOY COMPLETE"
echo "ROLE: $ROLE"
echo "SSH: $SSH_PORT"
echo "RELAY: $RELAY_IP"
echo "BACKEND: $BACKEND_IP"
echo "SAFE_MODE: $SAFE_MODE"
echo "=============================="