---
wireguard_interface: wg0
wireguard_port: 51820
wireguard_subnet: 10.99.0.0/24
wireguard_server_ip: 10.99.0.1
wireguard_server_public_key: "NCneTVY6UlvaVY9L6dgP+w+w8pheQS30d08NHn9jBk8="
# Clé privée serveur : vault_wireguard_server_private_key

# Endpoint public que les clients contactent (redirection Freebox 51820/udp → funk-s01)
wireguard_endpoint: "kaya.freeboxos.fr:{{ wireguard_port }}"

# DNS poussé aux clients = dnsmasq de s01 (résout *.lab.local → Traefik)
wireguard_client_dns: "{{ wireguard_server_ip }}"

# Split tunnel : seuls le LAN cluster et le tunnel passent dans le VPN,
# le reste du trafic client sort par sa connexion normale
wireguard_client_allowed_ips: "192.168.10.0/24, {{ wireguard_subnet }}"

# Pairs — définis dans host_vars/storage-01/vars.yml (clés privées dans le vault :
# vault_wireguard_peer_private_keys.<name>). access :
#   full   → tout le LAN cluster (admin)
#   portal → uniquement le portail web Guacamole (Traefik :80) — invités
wireguard_peers: []