# Géré par Ansible (rôle reseau-openstack) — ne pas modifier à la main.
# NAT masquerade : seul le sous-réseau "externe" OpenStack ({{ reseau_veth_gw_subnet }},
# utilisé par les routeurs de VM qui en ont explicitement besoin, jamais les
# VM de lab elles-mêmes — voir étape 10 du prompt de déploiement) sort vers
# Internet via {{ reseau_interface_publique }}.
table ip nat {
    chain postrouting {
        type nat hook postrouting priority 100;
        ip saddr {{ reseau_veth_gw_subnet }} oifname "{{ reseau_interface_publique }}" masquerade
    }
}