feat(ansible): serveur dédié Satisfactory sur gpu-01 (#74)

* feat(ansible): serveur dédié Satisfactory sur gpu-01

- Nouveau rôle satisfactory_server : install steamcmd (login anonyme,
  app 1690800), service systemd avec update auto en ExecStartPre,
  MemoryMax=16G + Nice=5 (protège le llama-server), firewalld 7777 tcp+udp
- Retries steamcmd (« Missing configuration » rc=8 au premier run)
- Fcontext SELinux bin_t sur steamcmd/ et server/ (203/EXEC sinon)
- gateway : DNAT 192.168.1.200:7777 → gpu-01:7777 (TCP+UDP) + forward
- Doc admin/ops/satisfactory.md (accès, exploitation, pièges rencontrés)

Co-Authored-By: Claude Fable 5 <noreply@anthropic.com>

* fix(satisfactory): ouvrir le port 8888/tcp Reliable Messaging

Depuis la 1.1, le client ouvre un socket TCP :8888 en plus du jeu UDP
:7777. Bloqué par firewalld, le join réussissait puis le client était
déconnecté (~60 s) avec « connection to the host has been lost »
(log client : LogReliableMessaging: Failed to connect to server socket).

- firewalld gpu-01 : + 8888/tcp (variable satisfactory_reliable_port)
- gateway s01 : DNAT + forward étendus à 8888/tcp
- doc : tableau des 3 sockets + piège n°3

Co-Authored-By: Claude Fable 5 <noreply@anthropic.com>

* docs(satisfactory): accès internet via IPv4 full-stack Free

Le remap de port Freebox (17777→7777) ne fonctionne pas : le serveur
annonce ses ports dans le protocole (externe = interne obligatoire).
Option IPv4 full-stack activée → redirections 1:1 7777 tcp+udp + 8888 tcp
vers funk-s01, DNAT existant inchangé.

Co-Authored-By: Claude Fable 5 <noreply@anthropic.com>

---------

Co-authored-by: Claude Fable 5 <noreply@anthropic.com>

ansible/roles/gateway/templates/nftables.conf.j2

@@ -67,6 +67,12 @@ table inet filter {
 
         # Réponses WAN → cluster (connexions initiées depuis le cluster)
         iif {{ wan_interface }} oif {{ lan_interface }} ct state established,related accept
+
+        # Satisfactory — trafic DNATé (192.168.1.200) → gpu-01, quelle que soit la source
+        # (couvre un éventuel port-forward internet depuis la box).
+        # 7777 = jeu/API ; 8888 = reliable messaging TCP (1.1) — bloqué = kick à ~60 s
+        ip daddr 192.168.10.20 tcp dport { 7777, 8888 } ct state new,established,related accept
+        ip daddr 192.168.10.20 udp dport 7777 ct state new,established,related accept
     }
 
     chain output {
@@ -77,6 +83,11 @@ table inet filter {
 table ip nat {
     chain prerouting {
         type nat hook prerouting priority -100;
+
+        # Satisfactory — DNAT WAN → serveur dédié sur gpu-01
+        # (joignable via 192.168.1.200 sans route vers 192.168.10.0/24)
+        iif {{ wan_interface }} tcp dport { 7777, 8888 } dnat to 192.168.10.20
+        iif {{ wan_interface }} udp dport 7777 dnat to 192.168.10.20:7777
     }
 
     chain postrouting {