Phase 1 : socle & sécurité (WireGuard, Ansible, OpenTofu)

- Reconnaissance : le serveur héberge déjà 6 autres projets derrière un
  Caddy partagé (80/443) ; tripoli-edge sera un service interne (décision
  prise avec l'utilisateur), pas un second frontal.
- WireGuard : canal admin Mac <-> serveur (10.100.0.0/24, port 58212/udp
  après avoir découvert que 51820 était filtré par le pare-feu Hetzner
  Cloud, distinct de ufw).
- Ansible : rôle base (confirme fail2ban/unattended-upgrades/ufw déjà en
  place, sans toucher aux règles des autres projets) + rôle wireguard
  (clé privée générée sur la cible, jamais stockée dans ce dépôt).
- OpenTofu : serveur Hetzner référencé en data source lecture seule
  (jamais recréé/détruit - serveur partagé et déjà en prod) ; DNS
  tripoli.cloud géré via le provider OVH.

Co-Authored-By: Claude Sonnet 5 <noreply@anthropic.com>

ansible/README.md

@@ -0,0 +1,39 @@
+# Ansible — socle Tripoli Cloud
+
+Un seul hôte (`tripoli_cloud`), pas d'inventaire dynamique : ce serait
+simuler une flotte qui n'existe pas. Le serveur héberge aussi cinq autres
+projets ; ce dépôt ne gère que ce qui concerne Tripoli Cloud (voir les
+commentaires dans `roles/base/tasks/main.yml`).
+
+## Lancer
+
+```bash
+ansible-galaxy collection install -r requirements.yml   # une fois
+ansible-playbook site.yml --diff
+```
+
+`ansible_host` pointe pour l'instant sur l'IP publique (`inventory/hosts.yml`)
+car le SSH public reste ouvert par choix explicite. Une fois le SSH public
+fermé (`ssh_restrict_to_wireguard: true` dans `group_vars/all.yml`), changer
+`ansible_host` pour `10.100.0.1` et lancer les playbooks depuis une machine
+dont le tunnel WireGuard est monté — sinon Ansible ne pourra plus joindre le
+serveur.
+
+## Secrets
+
+Aucun secret dans ce dépôt, volontairement :
+
+- La clé privée WireGuard du serveur est générée **sur le serveur** par le
+  rôle `wireguard` (`wg genkey`, `creates:` la rend idempotente) et n'en sort
+  jamais. Pas de vault, pas de fichier chiffré à gérer.
+- Les clés publiques des pairs (Mac admin, etc.) ne sont pas sensibles :
+  elles vivent en clair dans `group_vars/all.yml`.
+
+## `ssh_restrict_to_wireguard`
+
+À `false` (valeur actuelle) : le rôle ne touche pas à la règle `22/tcp`
+existante (ouverte à "Anywhere", posée manuellement avant Ansible).
+À `true` : le rôle retire cette règle et n'autorise plus le 22/tcp que
+depuis `10.100.0.0/24`. Vérifier que le tunnel fonctionne avant de basculer
+ce flag — sinon risque de perdre l'accès root normal (recours : console de
+secours Hetzner, indépendante du réseau).

ansible/ansible.cfg

@@ -0,0 +1,4 @@
+[defaults]
+inventory = inventory/hosts.yml
+host_key_checking = True
+retry_files_enabled = False

ansible/group_vars/all.yml

@@ -0,0 +1,18 @@
+---
+# WireGuard : canal d'administration, pas un VPN "route tout le trafic".
+# Chaque pair n'a le droit de joindre que l'autre bout du tunnel (/32),
+# jamais le reste du réseau du serveur.
+wireguard_listen_port: 58212 # port non standard : 51820 (défaut) est filtré
+  # en amont par le pare-feu Hetzner Cloud sur ce projet ; voir README.
+wireguard_server_address: "10.100.0.1/24"
+wireguard_peers:
+  - name: mac-admin
+    public_key: "lG5XN+YazR4qgFH75kK41ouQGP00GBaygC1h85NrFmg="
+    allowed_ips: "10.100.0.2/32"
+
+# Tant que false, le SSH public (22/tcp depuis Anywhere) reste ouvert.
+# À ne passer à true qu'après avoir vérifié que le tunnel WireGuard
+# fonctionne depuis la machine d'administration - sinon risque de perdre
+# l'accès root normal (recours : console de secours Hetzner).
+ssh_restrict_to_wireguard: false
+wireguard_subnet: "10.100.0.0/24"

ansible/inventory/hosts.yml

@@ -0,0 +1,13 @@
+---
+# Un seul serveur : pas de groupe de production/inventaire dynamique, ce
+# serait simuler une flotte qui n'existe pas.
+all:
+  hosts:
+    tripoli_cloud:
+      # IP publique pour l'instant : l'accès SSH public reste ouvert
+      # (décision explicite, pas encore restreint au tunnel WireGuard).
+      # Une fois le SSH public fermé, remplacer par 10.100.0.1 (IP WireGuard)
+      # et lancer les playbooks depuis une machine dont le tunnel est monté.
+      ansible_host: 65.109.142.188
+      ansible_user: root
+      ansible_ssh_private_key_file: ~/.ssh/hetzner

ansible/requirements.yml

@@ -0,0 +1,3 @@
+---
+collections:
+  - name: community.general

ansible/roles/base/tasks/main.yml

@@ -0,0 +1,53 @@
+---
+# Ce rôle ne fait que confirmer/maintenir un socle déjà en place sur ce
+# serveur (partagé avec d'autres projets) : il n'active PAS ufw depuis
+# zéro et ne touche à aucune règle existante en dehors de celles listées
+# ici. Reproduire tout le pare-feu depuis ce rôle casserait les autres
+# sites hébergés (Forgejo, iot-alarm, voltvision, etc.).
+
+- name: S'assurer que fail2ban est installé et actif
+  ansible.builtin.apt:
+    name: fail2ban
+    state: present
+
+- name: S'assurer que fail2ban est démarré et activé au boot
+  ansible.builtin.systemd:
+    name: fail2ban
+    state: started
+    enabled: true
+
+- name: S'assurer que les mises à jour de sécurité automatiques sont actives
+  ansible.builtin.apt:
+    name: unattended-upgrades
+    state: present
+
+- name: S'assurer que ufw est actif (deny incoming par défaut)
+  community.general.ufw:
+    state: enabled
+    policy: deny
+    direction: incoming
+
+- name: Autoriser le port WireGuard (règle spécifique à Tripoli Cloud)
+  community.general.ufw:
+    rule: allow
+    port: "{{ wireguard_listen_port }}"
+    proto: udp
+    comment: "tripoli-cloud : WireGuard admin"
+
+- name: SSH restreint au tunnel WireGuard uniquement
+  when: ssh_restrict_to_wireguard
+  block:
+    - name: Retirer la règle SSH publique (Anywhere)
+      community.general.ufw:
+        rule: allow
+        port: "22"
+        proto: tcp
+        delete: true
+
+    - name: Autoriser SSH uniquement depuis le sous-réseau WireGuard
+      community.general.ufw:
+        rule: allow
+        port: "22"
+        proto: tcp
+        src: "{{ wireguard_subnet }}"
+        comment: "tripoli-cloud : SSH admin via WireGuard uniquement"

ansible/roles/wireguard/handlers/main.yml

@@ -0,0 +1,5 @@
+---
+- name: redémarrer wireguard
+  ansible.builtin.systemd:
+    name: wg-quick@wg0
+    state: restarted

ansible/roles/wireguard/tasks/main.yml

@@ -0,0 +1,61 @@
+---
+# La clé privée du serveur est générée SUR le serveur et n'en sort
+# jamais : pas de vault, pas de secret dans ce dépôt. `creates:` rend la
+# génération idempotente - un ré-exécution ne régénère pas une clé déjà
+# en place.
+
+- name: Installer le paquet wireguard
+  ansible.builtin.apt:
+    name: wireguard
+    state: present
+    update_cache: true
+
+- name: Restreindre les permissions du dossier /etc/wireguard
+  ansible.builtin.file:
+    path: /etc/wireguard
+    state: directory
+    mode: "0700"
+
+- name: Générer la clé privée si absente
+  ansible.builtin.shell: umask 077 && wg genkey > /etc/wireguard/privatekey
+  args:
+    creates: /etc/wireguard/privatekey
+
+- name: Restreindre les permissions de la clé privée
+  ansible.builtin.file:
+    path: /etc/wireguard/privatekey
+    mode: "0600"
+
+- name: Dériver la clé publique correspondante
+  ansible.builtin.shell: wg pubkey < /etc/wireguard/privatekey > /etc/wireguard/publickey
+  args:
+    creates: /etc/wireguard/publickey
+
+- name: Lire la clé privée (jamais affichée dans les logs)
+  ansible.builtin.slurp:
+    path: /etc/wireguard/privatekey
+  register: wg_private_key_raw
+  no_log: true
+
+- name: Déployer wg0.conf
+  ansible.builtin.template:
+    src: wg0.conf.j2
+    dest: /etc/wireguard/wg0.conf
+    mode: "0600"
+  no_log: true
+  notify: redémarrer wireguard
+
+- name: Activer et démarrer wg-quick@wg0
+  ansible.builtin.systemd:
+    name: wg-quick@wg0
+    state: started
+    enabled: true
+
+- name: Lire la clé publique du serveur (information non sensible)
+  ansible.builtin.slurp:
+    path: /etc/wireguard/publickey
+  register: wg_public_key_raw
+
+- name: Afficher la clé publique du serveur
+  ansible.builtin.debug:
+    msg: "Clé publique WireGuard du serveur : {{ (wg_public_key_raw.content | b64decode).strip() }}"

ansible/roles/wireguard/templates/wg0.conf.j2

@@ -0,0 +1,12 @@
+[Interface]
+Address = {{ wireguard_server_address }}
+ListenPort = {{ wireguard_listen_port }}
+PrivateKey = {{ (wg_private_key_raw.content | b64decode).strip() }}
+
+{% for peer in wireguard_peers %}
+[Peer]
+# {{ peer.name }}
+PublicKey = {{ peer.public_key }}
+AllowedIPs = {{ peer.allowed_ips }}
+
+{% endfor %}

ansible/site.yml

@@ -0,0 +1,7 @@
+---
+- name: Socle Tripoli Cloud
+  hosts: tripoli_cloud
+  become: true
+  roles:
+    - base
+    - wireguard