services:
  wstunnel:
    image: ghcr.io/erebe/wstunnel:v11.1.0
    container_name: wstunnel
    restart: unless-stopped
    networks:
      npm:                             # nur fuer den Proxy Manager erreichbar, kein ports:
        ipv4_address: ${TUNNEL_IP:-172.20.250.250}   # feste IP: NPM haengt nicht von Docker-DNS ab
    command:
      - /home/app/wstunnel             # Image startet ueber dumb-init, Binaerpfad noetig
      - server
      - --restrict-config=/home/app/restrictions.yaml
      - --dns-resolver=dns://1.1.1.1   # oeffentliches DNS: lokale Namen sind nicht aufloesbar
      - --dns-resolver=dns://9.9.9.9
      - --dns-resolver-prefer-ipv4
      - ws://0.0.0.0:8090              # NPM terminiert TLS, intern reicht ws
    volumes:
      - ./restrictions.yaml:/home/app/restrictions.yaml:ro
    read_only: true
    cap_drop: [ALL]
    security_opt: [no-new-privileges:true]
    mem_limit: 64m
    logging:
      driver: json-file
      options:
        max-size: 1m
        max-file: "3"

# Werte aus .env (siehe docs/installation.md), Standard = bestehende Installation
networks:
  npm:
    external: true
    name: ${NPM_NETWORK:-nginx_default}