19 lines
864 B
YAML
19 lines
864 B
YAML
|
---
|
||
|
|
# WireGuard : canal d'administration, pas un VPN "route tout le trafic".
|
||
|
|
# Chaque pair n'a le droit de joindre que l'autre bout du tunnel (/32),
|
||
|
|
# jamais le reste du réseau du serveur.
|
||
|
|
wireguard_listen_port: 58212 # port non standard : 51820 (défaut) est filtré
|
||
|
|
# en amont par le pare-feu Hetzner Cloud sur ce projet ; voir README.
|
||
|
|
wireguard_server_address: "10.100.0.1/24"
|
||
|
|
wireguard_peers:
|
||
|
|
- name: mac-admin
|
||
|
|
public_key: "lG5XN+YazR4qgFH75kK41ouQGP00GBaygC1h85NrFmg="
|
||
|
|
allowed_ips: "10.100.0.2/32"
|
||
|
|
|
||
|
|
# Tant que false, le SSH public (22/tcp depuis Anywhere) reste ouvert.
|
||
|
|
# À ne passer à true qu'après avoir vérifié que le tunnel WireGuard
|
||
|
|
# fonctionne depuis la machine d'administration - sinon risque de perdre
|
||
|
|
# l'accès root normal (recours : console de secours Hetzner).
|
||
|
|
ssh_restrict_to_wireguard: false
|
||
|
|
wireguard_subnet: "10.100.0.0/24"
|