mirror of
https://github.com/Alkatrazz24/Funk-lab.git
synced 2026-07-08 14:34:43 +02:00
ALI YESILKAYA
bc0e1dd53e
- rôle wireguard : serveur wg0 (10.99.0.0/24) sur storage-01, profils clients générés dans /etc/wireguard/clients/ (fichier .conf / QR code) - gateway : filtrage nftables par pair — full (tout le lab) / portal (uniquement Traefik :80 = portail Guacamole), masquerade VPN→cluster - dnsmasq : bind-dynamic + écoute wg0 → *.lab.local résolu dans le tunnel - pairs initiaux : alkatrazz (full), invite-01 (portal) - vault : clés WireGuard + reprise de l'archive Authentik (remplace #78) - doc : admin/infra/wireguard.md (onboarding pair, pièges, exploitation) Co-authored-by: Claude Fable 5 <noreply@anthropic.com>
23 lines
1,016 B
YAML
23 lines
1,016 B
YAML
---
|
|
wireguard_interface: wg0
|
|
wireguard_port: 51820
|
|
wireguard_subnet: 10.99.0.0/24
|
|
wireguard_server_ip: 10.99.0.1
|
|
wireguard_server_public_key: "NCneTVY6UlvaVY9L6dgP+w+w8pheQS30d08NHn9jBk8="
|
|
# Clé privée serveur : vault_wireguard_server_private_key
|
|
|
|
# Endpoint public que les clients contactent (redirection Freebox 51820/udp → funk-s01)
|
|
wireguard_endpoint: "kaya.freeboxos.fr:{{ wireguard_port }}"
|
|
|
|
# DNS poussé aux clients = dnsmasq de s01 (résout *.lab.local → Traefik)
|
|
wireguard_client_dns: "{{ wireguard_server_ip }}"
|
|
|
|
# Split tunnel : seuls le LAN cluster et le tunnel passent dans le VPN,
|
|
# le reste du trafic client sort par sa connexion normale
|
|
wireguard_client_allowed_ips: "192.168.10.0/24, {{ wireguard_subnet }}"
|
|
|
|
# Pairs — définis dans host_vars/storage-01/vars.yml (clés privées dans le vault :
|
|
# vault_wireguard_peer_private_keys.<name>). access :
|
|
# full → tout le LAN cluster (admin)
|
|
# portal → uniquement le portail web Guacamole (Traefik :80) — invités
|
|
wireguard_peers: []
|