Phase 1 : socle & sécurité (WireGuard, Ansible, OpenTofu)

- Reconnaissance : le serveur héberge déjà 6 autres projets derrière un
  Caddy partagé (80/443) ; tripoli-edge sera un service interne (décision
  prise avec l'utilisateur), pas un second frontal.
- WireGuard : canal admin Mac <-> serveur (10.100.0.0/24, port 58212/udp
  après avoir découvert que 51820 était filtré par le pare-feu Hetzner
  Cloud, distinct de ufw).
- Ansible : rôle base (confirme fail2ban/unattended-upgrades/ufw déjà en
  place, sans toucher aux règles des autres projets) + rôle wireguard
  (clé privée générée sur la cible, jamais stockée dans ce dépôt).
- OpenTofu : serveur Hetzner référencé en data source lecture seule
  (jamais recréé/détruit - serveur partagé et déjà en prod) ; DNS
  tripoli.cloud géré via le provider OVH.

Co-Authored-By: Claude Sonnet 5 <noreply@anthropic.com>

ansible/roles/base/tasks/main.yml

@@ -0,0 +1,53 @@
+---
+# Ce rôle ne fait que confirmer/maintenir un socle déjà en place sur ce
+# serveur (partagé avec d'autres projets) : il n'active PAS ufw depuis
+# zéro et ne touche à aucune règle existante en dehors de celles listées
+# ici. Reproduire tout le pare-feu depuis ce rôle casserait les autres
+# sites hébergés (Forgejo, iot-alarm, voltvision, etc.).
+
+- name: S'assurer que fail2ban est installé et actif
+  ansible.builtin.apt:
+    name: fail2ban
+    state: present
+
+- name: S'assurer que fail2ban est démarré et activé au boot
+  ansible.builtin.systemd:
+    name: fail2ban
+    state: started
+    enabled: true
+
+- name: S'assurer que les mises à jour de sécurité automatiques sont actives
+  ansible.builtin.apt:
+    name: unattended-upgrades
+    state: present
+
+- name: S'assurer que ufw est actif (deny incoming par défaut)
+  community.general.ufw:
+    state: enabled
+    policy: deny
+    direction: incoming
+
+- name: Autoriser le port WireGuard (règle spécifique à Tripoli Cloud)
+  community.general.ufw:
+    rule: allow
+    port: "{{ wireguard_listen_port }}"
+    proto: udp
+    comment: "tripoli-cloud : WireGuard admin"
+
+- name: SSH restreint au tunnel WireGuard uniquement
+  when: ssh_restrict_to_wireguard
+  block:
+    - name: Retirer la règle SSH publique (Anywhere)
+      community.general.ufw:
+        rule: allow
+        port: "22"
+        proto: tcp
+        delete: true
+
+    - name: Autoriser SSH uniquement depuis le sous-réseau WireGuard
+      community.general.ufw:
+        rule: allow
+        port: "22"
+        proto: tcp
+        src: "{{ wireguard_subnet }}"
+        comment: "tripoli-cloud : SSH admin via WireGuard uniquement"

ansible/roles/wireguard/handlers/main.yml

@@ -0,0 +1,5 @@
+---
+- name: redémarrer wireguard
+  ansible.builtin.systemd:
+    name: wg-quick@wg0
+    state: restarted

ansible/roles/wireguard/tasks/main.yml

@@ -0,0 +1,61 @@
+---
+# La clé privée du serveur est générée SUR le serveur et n'en sort
+# jamais : pas de vault, pas de secret dans ce dépôt. `creates:` rend la
+# génération idempotente - un ré-exécution ne régénère pas une clé déjà
+# en place.
+
+- name: Installer le paquet wireguard
+  ansible.builtin.apt:
+    name: wireguard
+    state: present
+    update_cache: true
+
+- name: Restreindre les permissions du dossier /etc/wireguard
+  ansible.builtin.file:
+    path: /etc/wireguard
+    state: directory
+    mode: "0700"
+
+- name: Générer la clé privée si absente
+  ansible.builtin.shell: umask 077 && wg genkey > /etc/wireguard/privatekey
+  args:
+    creates: /etc/wireguard/privatekey
+
+- name: Restreindre les permissions de la clé privée
+  ansible.builtin.file:
+    path: /etc/wireguard/privatekey
+    mode: "0600"
+
+- name: Dériver la clé publique correspondante
+  ansible.builtin.shell: wg pubkey < /etc/wireguard/privatekey > /etc/wireguard/publickey
+  args:
+    creates: /etc/wireguard/publickey
+
+- name: Lire la clé privée (jamais affichée dans les logs)
+  ansible.builtin.slurp:
+    path: /etc/wireguard/privatekey
+  register: wg_private_key_raw
+  no_log: true
+
+- name: Déployer wg0.conf
+  ansible.builtin.template:
+    src: wg0.conf.j2
+    dest: /etc/wireguard/wg0.conf
+    mode: "0600"
+  no_log: true
+  notify: redémarrer wireguard
+
+- name: Activer et démarrer wg-quick@wg0
+  ansible.builtin.systemd:
+    name: wg-quick@wg0
+    state: started
+    enabled: true
+
+- name: Lire la clé publique du serveur (information non sensible)
+  ansible.builtin.slurp:
+    path: /etc/wireguard/publickey
+  register: wg_public_key_raw
+
+- name: Afficher la clé publique du serveur
+  ansible.builtin.debug:
+    msg: "Clé publique WireGuard du serveur : {{ (wg_public_key_raw.content | b64decode).strip() }}"

ansible/roles/wireguard/templates/wg0.conf.j2

@@ -0,0 +1,12 @@
+[Interface]
+Address = {{ wireguard_server_address }}
+ListenPort = {{ wireguard_listen_port }}
+PrivateKey = {{ (wg_private_key_raw.content | b64decode).strip() }}
+
+{% for peer in wireguard_peers %}
+[Peer]
+# {{ peer.name }}
+PublicKey = {{ peer.public_key }}
+AllowedIPs = {{ peer.allowed_ips }}
+
+{% endfor %}