feat(wireguard): accès distant au lab via VPN (Freebox 51820/udp → s01)

- rôle wireguard : serveur wg0 (10.99.0.0/24) sur storage-01, profils
  clients générés dans /etc/wireguard/clients/ (fichier .conf / QR code)
- gateway : filtrage nftables par pair — full (tout le lab) / portal
  (uniquement Traefik :80 = portail Guacamole), masquerade VPN→cluster
- dnsmasq : bind-dynamic + écoute wg0 → *.lab.local résolu dans le tunnel
- pairs initiaux : alkatrazz (full), invite-01 (portal)
- vault : clés WireGuard + reprise de l'archive Authentik (remplace #78)
- doc : admin/infra/wireguard.md (onboarding pair, pièges, exploitation)

Co-Authored-By: Claude Fable 5 <noreply@anthropic.com>

ansible/roles/dnsmasq/templates/dnsmasq.conf.j2

@@ -1,8 +1,10 @@
 # Géré par Ansible — ne pas modifier manuellement
 
-# Écoute uniquement sur le LAN cluster
+# Écoute sur le LAN cluster + tunnel WireGuard (DNS des clients VPN).
+# bind-dynamic (et non bind-interfaces) : wg0 peut apparaître après le démarrage
 interface={{ lan_interface }}
-bind-interfaces
+interface=wg0
+bind-dynamic
 
 # Domaine local
 domain={{ dns_domain }}