#!/bin/sh
# setup.rempart.dev — met une machine neuve dans le tailnet rempart, et rien de plus.
#
#   curl -fsSL https://setup.rempart.dev | sh
#
# Aucun secret ici, et aucun n'est demandé : le script installe de quoi joindre
# le tailnet, lance `tailscale up --ssh` et attend qu'on valide la connexion
# depuis un appareil déjà dedans. C'est cet appareil qui installe la suite
# (bin/onboard, docs/onboarding.md dans le dépôt rempart).
#
# Il se lit d'une traite parce qu'on le pipe dans sh : tout tient dans les
# trois fonctions ci-dessous, appelées à la toute dernière ligne.
set -eu

say() { printf '\n==> %s\n' "$*"; }

# Root n'a pas toujours sudo (une Debian minimale).
SUDO=sudo
[ "$(id -u)" -eq 0 ] && SUDO=

macos() {
  $SUDO -v

  # Avant Nix : nix-darwin pilote Homebrew mais ne l'installe pas, et il
  # refuse de tourner en root — c'est donc ici, avec l'utilisateur au clavier.
  if [ ! -x /opt/homebrew/bin/brew ]; then
    say "Homebrew (installe aussi les Command Line Tools)"
    NONINTERACTIVE=1 /bin/bash -c "$(curl -fsSL https://raw.githubusercontent.com/Homebrew/install/HEAD/install.sh)" </dev/null
  fi

  nix=/nix/var/nix/profiles/default/bin/nix
  if [ ! -x "$nix" ]; then
    say "Nix (Determinate)"
    curl -fsSL https://install.determinate.systems/nix | sh -s -- install --determinate --no-confirm
  fi

  # Le tailscaled open source, pas l'app : seul lui fait serveur Tailscale SSH.
  # install-system-daemon pose com.tailscale.tailscaled, le label même que
  # services.tailscale de nix-darwin reprend au premier rebuild, état compris.
  say "tailscaled (open source, depuis nixpkgs)"
  ts=$("$nix" build --no-link --print-out-paths nixpkgs#tailscale)
  $SUDO "$ts/bin/tailscaled" install-system-daemon
}

linux() {
  if [ -e /etc/NIXOS ]; then
    # Live NixOS : rien sur le disque, nixos-anywhere va l'effacer. L'état va
    # là où services.tailscale de NixOS le lira, bin/onboard le recopie.
    say "tailscaled (live NixOS, depuis nixpkgs)"
    ts=$(nix --extra-experimental-features 'nix-command flakes' build --no-link --print-out-paths nixpkgs#tailscale)
    $SUDO mkdir -p /var/lib/tailscale
    $SUDO sh -c "nohup $ts/bin/tailscaled --state=/var/lib/tailscale/tailscaled.state >/var/log/tailscaled.log 2>&1 &"
  else
    say "Tailscale (paquet officiel)"
    curl -fsSL https://tailscale.com/install.sh | sh
    ts=/usr
  fi
}

main() {
  case "$(uname -s)" in
    Darwin) macos ;;
    Linux) linux ;;
    *) echo "Système non pris en charge : $(uname -s)" >&2; exit 1 ;;
  esac

  i=0
  until $SUDO "$ts/bin/tailscale" status --json >/dev/null 2>&1; do
    i=$((i + 1))
    [ "$i" -le 30 ] || { echo "tailscaled ne répond pas après 30 s" >&2; exit 1; }
    sleep 1
  done

  say "Validation"
  cat <<EOF
Depuis un appareil déjà dans le tailnet :
  1. ouvrir l'URL (ou le QR code) ci-dessous et se connecter ;
  2. approuver la machine dans https://login.tailscale.com/admin/machines ;
  3. dans le dépôt rempart : bin/onboard $(hostname -s) <nom-dans-le-flake>
EOF
  $SUDO "$ts/bin/tailscale" up --ssh --qr
  say "Machine dans le tailnet. La suite se fait depuis bin/onboard."
}

main