feat(portal): accès Internet direct au portail (kaya.freeboxos.fr:9080) (#81)

* feat(wireguard): accès distant au lab via VPN (Freebox 51820/udp → s01)

- rôle wireguard : serveur wg0 (10.99.0.0/24) sur storage-01, profils
  clients générés dans /etc/wireguard/clients/ (fichier .conf / QR code)
- gateway : filtrage nftables par pair — full (tout le lab) / portal
  (uniquement Traefik :80 = portail Guacamole), masquerade VPN→cluster
- dnsmasq : bind-dynamic + écoute wg0 → *.lab.local résolu dans le tunnel
- pairs initiaux : alkatrazz (full), invite-01 (portal)
- vault : clés WireGuard + reprise de l'archive Authentik (remplace #78)
- doc : admin/infra/wireguard.md (onboarding pair, pièges, exploitation)

Co-Authored-By: Claude Fable 5 <noreply@anthropic.com>

* feat(portal): accès Internet direct — kaya.freeboxos.fr:9080

Choix simplicité (2026-07-07) : exposition directe du portail plutôt que
le VPN (WireGuard reste déployé mais dormant, sans redirection Freebox).

- gateway : DNAT 9080/tcp → Traefik (192.168.10.200:80) + rate-limit
  30 connexions neuves/min sur le trafic Internet (LAN non concerné)
- IngressRoute guacamole : host kaya.freeboxos.fr accepté
- Guacamole : formulaire local en premier ("*, openid") — l'accès externe
  passe par des comptes locaux, Authentik n'est pas exposé (SSO = LAN)
- doc : section « Accès externe » dans admin/k8s/auth-portal.md

Co-Authored-By: Claude Fable 5 <noreply@anthropic.com>

---------

Co-authored-by: Claude Fable 5 <noreply@anthropic.com>

k8s/apps/guacamole/deployment.yaml

@@ -59,12 +59,11 @@ spec:
               value: "preferred_username"
             - name: OPENID_SCOPE
               value: "openid profile email"
-            # OIDC prioritaire : arrivée sur le portail = redirection immédiate vers
-            # Authentik (pas de formulaire local). Conséquence : guacadmin devient
-            # inaccessible — l'admin passe par un compte SSO avec « Administer system ».
-            # Dépannage sans Authentik : remettre "*, openid" ici et re-sync.
+            # Formulaire local en premier : requis pour l'accès Internet
+            # (kaya.freeboxos.fr:9080 — comptes locaux Guacamole, Authentik n'étant
+            # pas exposé). Le lien « OpenID » reste dispo pour le SSO depuis le LAN.
             - name: EXTENSION_PRIORITY
-              value: "openid, *"
+              value: "*, openid"
             - name: TZ
               value: "Europe/Paris"
           resources: