---
# Flux reseau du relais. Voir docs/flux-conception.md.
#
# LE RELAIS N'EST PAS DANS LE PLAN DU SITE : aucun devis ne derive de regle de ces lignes
# (son pare-feu est le sien, `templates/nftables.conf.j2`). Elles DISENT ce qui le traverse,
# pour qu'un humain le lise au meme endroit que pour tout autre role.
flux:
  # `derive` : 51800 + index du site (51831 au site de TechnoLibre). Le role est generique.
  - sens: ingress
    port: derive
    protocole: udp
    pair: externe
    chiffrement: wireguard
    raison: >-
      La frontiere du site ouvre le tunnel depuis son adresse DHCP (port derive : 51800 +
      index du site). Seule sa cle est admise ; le reste de l'Internet ne recoit aucune
      reponse.
  - sens: ingress
    port: 22
    protocole: tcp
    pair: externe
    chiffrement: ssh
    raison: >-
      La console d'administration, sur l'adresse PROPRE du VPS seulement. Les adresses
      relayees ne menent jamais a ce SSH : elles partent dans le tunnel.