35 lines
1.7 KiB
YAML
35 lines
1.7 KiB
YAML
|
---
|
||
|
|
# LE RELAIS — la face publique d'un site qui n'a qu'une adresse DHCP (2026-10-13).
|
||
|
|
#
|
||
|
|
# Un VPS loue des adresses fixes ; il repond a l'ARP de son hebergeur pour elles (proxy) et
|
||
|
|
# les ROUTE en /32 dans un tunnel WireGuard que la frontiere du site INITIE. Aucune
|
||
|
|
# traduction : les adresses arrivent intactes sur la frontiere, qui les porte et qui filtre.
|
||
|
|
# Le relais ne decide d'aucun service — il fait suivre, et refuse tout le reste.
|
||
|
|
#
|
||
|
|
# Tout ce qui suit est DERIVE par `scripts/site_inventaire.py` de la carte du site
|
||
|
|
# (`underlay.yml` : reseau `relais`, hote `role: relais`) et de `opnsense.yml` (adresse du
|
||
|
|
# site et pool des locataires). Rien n'est a recopier ici.
|
||
|
|
serveur_relais_tunnel_adresse: "" # ex. 10.31.60.1/30
|
||
|
|
serveur_relais_tunnel_port: 0 # 51800 + index du site
|
||
|
|
serveur_relais_tunnel_mtu: 1420
|
||
|
|
serveur_relais_pair_nom: frontiere
|
||
|
|
serveur_relais_pair_adresse: "" # l'adresse de la frontiere dans le tunnel
|
||
|
|
serveur_relais_pair_cle_publique: ""
|
||
|
|
serveur_relais_adresses_relayees: [] # l'adresse du site, puis le pool des locataires
|
||
|
|
serveur_relais_site: ""
|
||
|
|
|
||
|
|
# La console SSH reste sur l'adresse PROPRE du VPS : les adresses relayees ne lui sont
|
||
|
|
# jamais attribuees, et ne mennent jamais a son SSH.
|
||
|
|
serveur_relais_console: "{{ ansible_host }}"
|
||
|
|
# L'interface ou l'hebergeur livre les adresses (celle de la route par defaut).
|
||
|
|
serveur_relais_interface_publique: "{{ ansible_facts.default_ipv4.interface }}"
|
||
|
|
serveur_relais_interface_tunnel: wg0
|
||
|
|
|
||
|
|
# La cle privee vit dans la voute du site : reconstruire le relais ne change pas sa cle,
|
||
|
|
# donc ne touche pas a la frontiere.
|
||
|
|
serveur_relais_cle_privee: "{{ vault_relais_wg_cle_privee | default('') }}"
|
||
|
|
|
||
|
|
serveur_relais_paquets:
|
||
|
|
- wireguard-tools
|
||
|
|
- nftables
|