diff --git a/flux-genere/site-mon-01.connectivite.json b/flux-genere/site-mon-01.connectivite.json
index 8f13c49..d757fa0 100644
--- a/flux-genere/site-mon-01.connectivite.json
+++ b/flux-genere/site-mon-01.connectivite.json
@@ -347,8 +347,7 @@
     "10.31.35.1",
     "10.31.36.1",
     "10.31.37.1",
-    "10.31.50.11",
-    "10.31.60.2"
+    "10.31.50.11"
    ]
   },
   {
@@ -367,8 +366,7 @@
     "10.31.35.1",
     "10.31.36.1",
     "10.31.37.1",
-    "10.31.50.11",
-    "10.31.60.2"
+    "10.31.50.11"
    ]
   },
   {
diff --git a/flux-genere/site-mon-01.nft b/flux-genere/site-mon-01.nft
index 2f1677b..71945bc 100644
--- a/flux-genere/site-mon-01.nft
+++ b/flux-genere/site-mon-01.nft
@@ -48,8 +48,8 @@ table inet setops_flux {
     ip saddr { 10.31.31.11, 10.31.32.11, 10.31.33.11, 10.31.33.21, 10.31.34.11, 10.31.35.11, 10.31.36.11, 10.31.37.11, 10.31.37.21 } tcp dport 5665 accept comment "serveur_icinga: Rapport passif de sante de chaque noeud (unites systemd en echec)."
     ip saddr { 10.31.0.0/24, 10.31.31.0/24, 10.31.31.1/32, 10.31.32.1/32, 10.31.33.1/32, 10.31.34.1/32, 10.31.35.1/32, 10.31.36.1/32, 10.31.37.1/32, 10.31.37.11 } tcp dport 8080 accept comment "serveur_icingaweb2: Interface web servie via l'edge (TLS terminé à l'edge ; SSO possible via oauth2-proxy), et joignable d..."
     ip saddr { 10.31.31.11, 10.31.32.11, 10.31.33.11, 10.31.33.21, 10.31.34.11, 10.31.35.11, 10.31.36.11, 10.31.37.11, 10.31.37.21 } tcp dport 3100 accept comment "serveur_loki: Réception des journaux poussés par Alloy (client_journal) en HTTPS (http_tls_config, cert step-ca)."
-    ip saddr { 10.0.4.1, 10.0.4.11, 10.31.0.1, 10.31.0.11, 10.31.31.1, 10.31.32.1, 10.31.33.1, 10.31.34.1, 10.31.35.1, 10.31.36.1, 10.31.37.1, 10.31.50.11, 10.31.60.2 } tcp dport 3100 accept comment "serveur_loki: Journaux des hyperviseurs. La machine qui PORTE les VM ecrivait ses journaux nulle part ailleurs que sur son p..."
-    ip saddr { 10.0.4.1, 10.0.4.11, 10.31.0.1, 10.31.0.11, 10.31.31.1, 10.31.32.1, 10.31.33.1, 10.31.34.1, 10.31.35.1, 10.31.36.1, 10.31.37.1, 10.31.50.11, 10.31.60.2 } tcp dport 1514 accept comment "serveur_loki: Journaux de la frontiere, en TLS mutuel. Elle n'accueille aucun agent et n'emet que du syslog ; sans ce flux,..."
+    ip saddr { 10.0.4.1, 10.0.4.11, 10.31.0.1, 10.31.0.11, 10.31.31.1, 10.31.32.1, 10.31.33.1, 10.31.34.1, 10.31.35.1, 10.31.36.1, 10.31.37.1, 10.31.50.11 } tcp dport 3100 accept comment "serveur_loki: Journaux des hyperviseurs. La machine qui PORTE les VM ecrivait ses journaux nulle part ailleurs que sur son p..."
+    ip saddr { 10.0.4.1, 10.0.4.11, 10.31.0.1, 10.31.0.11, 10.31.31.1, 10.31.32.1, 10.31.33.1, 10.31.34.1, 10.31.35.1, 10.31.36.1, 10.31.37.1, 10.31.50.11 } tcp dport 1514 accept comment "serveur_loki: Journaux de la frontiere, en TLS mutuel. Elle n'accueille aucun agent et n'emet que du syslog ; sans ce flux,..."
     tcp dport 25 accept comment "serveur_postfix: SMTP entrant : courrier externe (MX) et notifications internes (client_smtp)."
     ip saddr { 10.31.33.11, 10.31.36.11 } tcp dport 5432 accept comment "serveur_postgresql: Connexions applicatives à PostgreSQL (verify-full ; pg_hba hostssl)."
     ip saddr { 10.31.36.11 } tcp dport 9187 accept comment "serveur_postgresql: Metriques PostgreSQL lues par l'observatoire, en HTTPS verifie. Series, pas verdicts : ce qui derive len..."
diff --git a/underlay.yml b/underlay.yml
index 7719466..27d9c66 100644
--- a/underlay.yml
+++ b/underlay.yml
@@ -132,7 +132,27 @@ underlay:
       sous_reseau: 10.31.60.0/30
       mtu: 1420
 
+    # LE LIEN ENTRE LES SITES (2026-10-13) — le tunnel WireGuard entre `bifrost-1` (site de
+    # Chezlepro, adresse fixe) et `requin` (site de TechnoLibre, DHCP derriere une traduction
+    # d'adresse : c'est LUI qui l'initie). Declare A L'IDENTIQUE dans les deux cartes. Il porte
+    # ce que les deux sites se doivent : la replication du DNS public et les sauvegardes
+    # croisees — rien d'autre, et rien tant que le devis ne l'a pas declare.
+    - nom: inter-sites
+      nature: fabric
+      fabric: inter-sites
+      description: Tunnel WireGuard entre les sites de Chezlepro et de TechnoLibre
+      tunnel: wireguard
+      sous_reseau: 172.31.0.0/30
+      mtu: 1412
+
   hotes:
+    # Le lien entre les sites — voir le reseau `inter-sites`.
+    - { nom: requin,    reseau: inter-sites, ip: 172.31.0.1, role: frontiere,
+        cle_publique: W3T5BG2exQqLWk19p6GDSu0xY4fSH8jtcRTr8P/xgFA= }
+    - { nom: bifrost-1, reseau: inter-sites, ip: 172.31.0.2, role: frontiere_pair,
+        site: SITE-Chezlepro, point_arrivee: "69.70.26.62:51820",
+        cle_publique: lc440DWd+BZaHrLOobUaZ3OZ1el3ggxnlpelYowQ2mc= }
+
     - { nom: caillou, role: switch, reseau: management, ip: 10.31.0.111 }
 
     # La frontiere (QOTOM) — hors flotte Ansible. `.1` partout : c'est l'invariant dont le