Set-OPS-Public/roles/serveur_relais/meta/flux.yml

---
# Flux reseau du relais. Voir docs/flux-conception.md.
#
# LE RELAIS N'EST PAS DANS LE PLAN DU SITE : aucun devis ne derive de regle de ces lignes
# (son pare-feu est le sien, `templates/nftables.conf.j2`). Elles DISENT ce qui le traverse,
# pour qu'un humain le lise au meme endroit que pour tout autre role.
flux:
  # `derive` : 51800 + index du site (51831 au site de TechnoLibre). Le role est generique.
  - sens: ingress
    port: derive
    protocole: udp
    pair: externe
    chiffrement: wireguard
    raison: >-
      La frontiere du site ouvre le tunnel depuis son adresse DHCP (port derive : 51800 +
      index du site). Seule sa cle est admise ; le reste de l'Internet ne recoit aucune
      reponse.
  - sens: ingress
    port: 22
    protocole: tcp
    pair: externe
    chiffrement: ssh
    raison: >-
      La console d'administration, sur l'adresse PROPRE du VPS seulement. Les adresses
      relayees ne menent jamais a ce SSH : elles partent dans le tunnel.
relais : la face publique d'un site sans adresse fixe, et le site de reprise de TechnoLibre Le site de TechnoLibre n'a qu'une adresse DHCP. Trois adresses fixes sont louees sur un VPS (le relais), qui repond a l'ARP pour elles et les route en /32 dans un tunnel WireGuard que la frontiere initie. Aucune traduction : l'adresse du client arrive intacte. - underlay.py : `tunnel: wireguard` dispense de VLAN ; role d'hote `relais`. - devis_opnsense.py : `opnsense_face_publique`. Les entrees publiques s'y posent avec reply-to ; les sorties des locataires du pool passent par le relais ; une redirection n'y vise plus `wanip`. Le devis de Chezlepro est identique au caractere pres. - appliquer_opnsense.py : replyto et gateway transmis et dans l'identite (seulement s'ils existent) ; le NAT sortant en mode automatic arrete l'application au lieu de dupliquer. - role serveur_relais, inventorie depuis la carte comme un hyperviseur ; cle privee dans la voute du site. Deploye, idempotent. - site_inventaire.py : les hyperviseurs ne sont plus filtres sur 192.168.11. ; site-appliquer charge la voute designee par SETOPS_UNDERLAY ; voute.py n'exige plus d'un locataire un secret du site. - prouver.py : P67 lit le plan par underlay.plan_site() ; P53 couvre la face publique. - Tests : test_underlay_tunnel, test_face_publique_relais, test_mode_nat_sortant. 95 preuves (make verifier), make test passe. CHANGELOG 144 et 145. Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com> 2026-10-13 21:20:04 -04:00			`---`
			`# Flux reseau du relais. Voir docs/flux-conception.md.`
			`#`
			`# LE RELAIS N'EST PAS DANS LE PLAN DU SITE : aucun devis ne derive de regle de ces lignes`
			# (son pare-feu est le sien, `templates/nftables.conf.j2`). Elles DISENT ce qui le traverse,
			`# pour qu'un humain le lise au meme endroit que pour tout autre role.`
			`flux:`
			# `derive` : 51800 + index du site (51831 au site de TechnoLibre). Le role est generique.
			`- sens: ingress`
			`port: derive`
			`protocole: udp`
			`pair: externe`
			`chiffrement: wireguard`
			`raison: >-`
			`La frontiere du site ouvre le tunnel depuis son adresse DHCP (port derive : 51800 +`
			`index du site). Seule sa cle est admise ; le reste de l'Internet ne recoit aucune`
			`reponse.`
			`- sens: ingress`
			`port: 22`
			`protocole: tcp`
			`pair: externe`
			`chiffrement: ssh`
			`raison: >-`
			`La console d'administration, sur l'adresse PROPRE du VPS seulement. Les adresses`
			`relayees ne menent jamais a ce SSH : elles partent dans le tunnel.`