#!/bin/bash
# =============================================================================
# set_network.sh — 센서 노드 유선 고정 IP 설정 (하드닝 후 현장 콘솔용)
#
# 배경: harden_pi.sh 실행 후 SSH·콘솔 자동로그인이 꺼진다. 그래서 이 스크립트는
#   "현장 물리 콘솔(모니터+키보드)에서 pi 로그인 후" 실행하는 것을 전제로 한다.
#   Raspberry Pi OS Bookworm 기본 네트워크 관리자는 NetworkManager(nmcli)다.
#
# 하드닝 방화벽과의 관계: nftables 는 인바운드만 drop, 아웃바운드는 accept +
#   established/related 허용. 고정 IP 로 바꿔도 서버 POST(아웃바운드)는 그대로
#   나가며 인바운드 규칙 추가가 필요없다. 이 스크립트는 방화벽을 건드리지 않는다.
#
# 폐쇄망(air-gapped): 네트워크 미사용. nmcli 로컬 설정만 수행한다.
#
# 사용:
#   대화형:      sudo bash set_network.sh
#   비대화형:    sudo bash set_network.sh --ip 192.168.0.50/24 --gw 192.168.0.1 \
#                    --dns "8.8.8.8 1.1.1.1" --yes
#   현재 확인:   sudo bash set_network.sh --show
#   DHCP 복귀:   sudo bash set_network.sh --dhcp --yes
#
# 옵션:
#   --ip A.B.C.D/PREFIX   고정 IP + 서브넷(CIDR). 예: 192.168.0.50/24 (=255.255.255.0)
#   --gw A.B.C.D          게이트웨이
#   --dns "A.B.C.D ..."   DNS (공백 구분, 여러 개 가능). 서버가 도메인이면 필수.
#   --iface NAME          인터페이스 (기본: 자동 감지, 보통 eth0)
#   --con NAME            NM 연결 이름 (기본: 유선 연결 자동 감지)
#   --dhcp                수동 IP 해제 → 자동(DHCP) 복귀
#   --show                현재 설정만 출력하고 종료
#   --yes | -y            확인 프롬프트 건너뜀(비대화형)
#
# 서브넷 = CIDR 접미사:  /24=255.255.255.0  /16=255.255.0.0  /25=255.255.255.128
# =============================================================================
set -euo pipefail

die(){ echo "[ERROR] $*" >&2; exit 1; }

[ "$(id -u)" -eq 0 ] || die "sudo 로 실행하세요: sudo bash set_network.sh"
# 스크립트 폴더 기준으로 test_connection.py 등을 찾도록 cwd 이동.
cd "$(dirname "$0")" 2>/dev/null || true

command -v nmcli >/dev/null 2>&1 || die \
  "nmcli(NetworkManager) 없음. Bookworm 기본이 아니면 네트워크 관리자를 확인하세요(dhcpcd/systemd-networkd)."

# ---- 인자 파싱 -------------------------------------------------------------
IPCIDR="" GW="" DNS="" IFACE="" CON="" ASSUME_YES=0 MODE="static"
while [ $# -gt 0 ]; do
  case "$1" in
    --ip)    IPCIDR="${2:-}"; shift 2;;
    --gw)    GW="${2:-}";     shift 2;;
    --dns)   DNS="${2:-}";    shift 2;;
    --iface) IFACE="${2:-}";  shift 2;;
    --con)   CON="${2:-}";    shift 2;;
    --dhcp)  MODE="dhcp";     shift;;
    --show)  MODE="show";     shift;;
    --yes|-y) ASSUME_YES=1;   shift;;
    -h|--help) sed -n '2,40p' "$0"; exit 0;;
    *) die "알 수 없는 옵션: $1  (도움말: --help)";;
  esac
done

# ---- 검증 헬퍼 -------------------------------------------------------------
valid_ipv4(){
  local ip="$1" o
  [[ "$ip" =~ ^([0-9]{1,3})\.([0-9]{1,3})\.([0-9]{1,3})\.([0-9]{1,3})$ ]] || return 1
  for o in "${BASH_REMATCH[@]:1:4}"; do [ "$o" -le 255 ] || return 1; done
  return 0
}
valid_cidr(){
  [[ "$1" == */* ]] || return 1
  local ip="${1%/*}" pfx="${1#*/}"
  valid_ipv4 "$ip" || return 1
  [[ "$pfx" =~ ^[0-9]+$ ]] && [ "$pfx" -ge 0 ] && [ "$pfx" -le 32 ]
}
ip2int(){ local a b c d; IFS=. read -r a b c d <<<"$1"; echo $(( (a<<24)|(b<<16)|(c<<8)|d )); }
same_subnet(){  # $1=ip $2=gw $3=prefix — 게이트웨이가 IP 와 같은 서브넷인지
  local m=$(( (0xFFFFFFFF << (32-$3)) & 0xFFFFFFFF ))
  [ $(( $(ip2int "$1") & m )) -eq $(( $(ip2int "$2") & m )) ]
}

# ---- 유선 연결/인터페이스 자동 감지 ---------------------------------------
if [ -z "$IFACE" ]; then
  IFACE="$(nmcli -t -f DEVICE,TYPE dev status 2>/dev/null | awk -F: '$2=="ethernet"{print $1; exit}')"
  IFACE="${IFACE:-eth0}"
fi
if [ -z "$CON" ]; then
  # 해당 인터페이스에 물린 활성 연결 우선 → 없으면 첫 유선 연결 → 최후 기본 이름.
  CON="$(nmcli -t -f NAME,DEVICE con show --active 2>/dev/null | awk -F: -v d="$IFACE" '$2==d{print $1; exit}')"
  [ -n "$CON" ] || CON="$(nmcli -t -f NAME,TYPE con show 2>/dev/null | awk -F: '$2=="802-3-ethernet"{print $1; exit}')"
  [ -n "$CON" ] || CON="Wired connection 1"
fi

show_current(){
  echo "== 인터페이스: $IFACE / 연결: $CON =="
  nmcli -f ipv4.method,ipv4.addresses,ipv4.gateway,ipv4.dns con show "$CON" 2>/dev/null \
    || echo "  (연결 '$CON' 없음)"
  echo "-- 실제 IP:"; ip -4 addr show "$IFACE" 2>/dev/null | awk '/inet /{print "  "$2}' || true
  echo "-- 라우팅:";  ip route 2>/dev/null | sed 's/^/  /' || true
}

# ---- --show : 현재 상태만 출력 --------------------------------------------
if [ "$MODE" = show ]; then show_current; exit 0; fi

# ---- --dhcp : 자동 복귀 ----------------------------------------------------
if [ "$MODE" = dhcp ]; then
  echo "연결 '$CON' → 자동(DHCP) 복귀."
  [ "$ASSUME_YES" = 1 ] || { read -r -p "진행? [y/N] " a; [[ "$a" =~ ^[Yy]$ ]] || die "취소됨"; }
  nmcli con mod "$CON" ipv4.method auto ipv4.addresses "" ipv4.gateway "" ipv4.dns "" ipv4.ignore-auto-dns no
  nmcli con down "$CON" >/dev/null 2>&1 || true
  nmcli con up "$CON" || die "활성화 실패 — 물리 링크/스위치 확인."
  echo "── 결과 ──"; show_current
  exit 0
fi

# ---- static : 대화형 프롬프트(값 누락 + TTY 인 경우만) --------------------
if [ -t 0 ]; then
  [ -n "$IPCIDR" ] || read -r -p "고정 IP/서브넷 (예 192.168.0.50/24): " IPCIDR
  [ -n "$GW" ]     || read -r -p "게이트웨이 (예 192.168.0.1): " GW
  [ -n "$DNS" ]    || read -r -p "DNS (공백구분, 예 '8.8.8.8 1.1.1.1', 없으면 엔터): " DNS
fi

# ---- 값 검증 ---------------------------------------------------------------
valid_cidr "$IPCIDR" || die "IP/서브넷 형식 오류: '$IPCIDR' (예: 192.168.0.50/24)"
valid_ipv4 "$GW"     || die "게이트웨이 형식 오류: '$GW'"
IPADDR="${IPCIDR%/*}"; PREFIX="${IPCIDR#*/}"
same_subnet "$IPADDR" "$GW" "$PREFIX" \
  || die "게이트웨이 $GW 가 $IPCIDR 서브넷 밖입니다. IP·서브넷·게이트웨이 값을 확인하세요."
for d in $DNS; do valid_ipv4 "$d" || die "DNS 형식 오류: '$d'"; done
[ -n "$DNS" ] || echo "[WARN] DNS 미지정 — 서버 주소가 도메인이면 이름해석 실패. 서버가 IP면 무방."

# ---- 요약 + 확인 -----------------------------------------------------------
echo "───────────── 적용 예정 ─────────────"
echo "  인터페이스 : $IFACE"
echo "  연결 이름  : $CON"
echo "  IP/서브넷  : $IPCIDR"
echo "  게이트웨이 : $GW"
echo "  DNS        : ${DNS:-(없음)}"
echo "─────────────────────────────────────"
[ "$ASSUME_YES" = 1 ] || { read -r -p "적용? [y/N] " a; [[ "$a" =~ ^[Yy]$ ]] || die "취소됨"; }

# ---- 이전 설정 백업(복구용) ------------------------------------------------
BK="/root/net_backup_$(date +%Y%m%d_%H%M%S).txt"
{ echo "# '$CON' 이전 설정 (복구 참고 — $(date))"; nmcli con show "$CON" 2>/dev/null | grep -E '^ipv4\.'; } \
  > "$BK" 2>/dev/null || true
echo "[INFO] 이전 설정 백업: $BK"

# ---- 적용 ------------------------------------------------------------------
echo "[적용] nmcli 로 고정 IP 설정..."
nmcli con mod "$CON" \
  ipv4.method manual \
  ipv4.addresses "$IPCIDR" \
  ipv4.gateway "$GW" \
  ipv4.dns "$DNS" \
  ipv4.ignore-auto-dns yes
# 재적용(down 실패는 무시 — 최초 활성화 전일 수 있음)
nmcli con down "$CON" >/dev/null 2>&1 || true
nmcli con up "$CON" \
  || die "활성화 실패. 복구: 'sudo bash set_network.sh --dhcp --yes' 또는 백업($BK) 참고."

# ---- 검증 ------------------------------------------------------------------
echo ""
echo "───────────── 검증 ─────────────"
echo "-- IP:";       ip -4 addr show "$IFACE" 2>/dev/null | awk '/inet /{print "  "$2}' || true
echo "-- 라우팅:";   ip route 2>/dev/null | sed 's/^/  /' || true
echo "-- 게이트웨이 ping:"
if ping -c2 -W2 "$GW" >/dev/null 2>&1; then echo "  OK ($GW 도달)"; else \
  echo "  [WARN] $GW 무응답 — 배선/스위치/게이트웨이 값 확인"; fi

# 서버 연결 최종 확인 (test_connection.py 가 있으면 실행)
for t in ./test_connection.py "$HOME/raspberry_pi4/test_connection.py" "$HOME/raspberry_pi4_sht30/test_connection.py"; do
  if [ -f "$t" ]; then
    echo "-- 서버 연결 테스트: $t"
    ( cd "$(dirname "$t")" && python3 "$(basename "$t")" ) \
      || echo "  [WARN] 서버 테스트 실패 — DNS/게이트웨이/서버주소 확인"
    break
  fi
done

echo ""
echo "완료. 문제 시 복구: 백업($BK) 참고하거나  sudo bash set_network.sh --dhcp --yes  (DHCP 복귀)."
echo "설정 확인:  sudo bash set_network.sh --show"