---
# LE RELAIS — la face publique d'un site qui n'a qu'une adresse DHCP (2026-10-13).
#
# Un VPS loue des adresses fixes ; il repond a l'ARP de son hebergeur pour elles (proxy) et
# les ROUTE en /32 dans un tunnel WireGuard que la frontiere du site INITIE. Aucune
# traduction : les adresses arrivent intactes sur la frontiere, qui les porte et qui filtre.
# Le relais ne decide d'aucun service — il fait suivre, et refuse tout le reste.
#
# Tout ce qui suit est DERIVE par `scripts/site_inventaire.py` de la carte du site
# (`underlay.yml` : reseau `relais`, hote `role: relais`) et de `opnsense.yml` (adresse du
# site et pool des locataires). Rien n'est a recopier ici.
serveur_relais_tunnel_adresse: ""          # ex. 10.31.60.1/30
serveur_relais_tunnel_port: 0              # 51800 + index du site
serveur_relais_tunnel_mtu: 1420
serveur_relais_pair_nom: frontiere
serveur_relais_pair_adresse: ""            # l'adresse de la frontiere dans le tunnel
serveur_relais_pair_cle_publique: ""
serveur_relais_adresses_relayees: []       # l'adresse du site, puis le pool des locataires
serveur_relais_site: ""

# La console SSH reste sur l'adresse PROPRE du VPS : les adresses relayees ne lui sont
# jamais attribuees, et ne mennent jamais a son SSH.
serveur_relais_console: "{{ ansible_host }}"
# L'interface ou l'hebergeur livre les adresses (celle de la route par defaut).
serveur_relais_interface_publique: "{{ ansible_facts.default_ipv4.interface }}"
serveur_relais_interface_tunnel: wg0

# La cle privee vit dans la voute du site : reconstruire le relais ne change pas sa cle,
# donc ne touche pas a la frontiere.
serveur_relais_cle_privee: "{{ vault_relais_wg_cle_privee | default('') }}"

serveur_relais_paquets:
  - wireguard-tools
  - nftables