Phase 1 : socle & sécurité (WireGuard, Ansible, OpenTofu)

- Reconnaissance : le serveur héberge déjà 6 autres projets derrière un
  Caddy partagé (80/443) ; tripoli-edge sera un service interne (décision
  prise avec l'utilisateur), pas un second frontal.
- WireGuard : canal admin Mac <-> serveur (10.100.0.0/24, port 58212/udp
  après avoir découvert que 51820 était filtré par le pare-feu Hetzner
  Cloud, distinct de ufw).
- Ansible : rôle base (confirme fail2ban/unattended-upgrades/ufw déjà en
  place, sans toucher aux règles des autres projets) + rôle wireguard
  (clé privée générée sur la cible, jamais stockée dans ce dépôt).
- OpenTofu : serveur Hetzner référencé en data source lecture seule
  (jamais recréé/détruit - serveur partagé et déjà en prod) ; DNS
  tripoli.cloud géré via le provider OVH.

Co-Authored-By: Claude Sonnet 5 <noreply@anthropic.com>

ansible/roles/base/tasks/main.yml

@@ -0,0 +1,53 @@
+---
+# Ce rôle ne fait que confirmer/maintenir un socle déjà en place sur ce
+# serveur (partagé avec d'autres projets) : il n'active PAS ufw depuis
+# zéro et ne touche à aucune règle existante en dehors de celles listées
+# ici. Reproduire tout le pare-feu depuis ce rôle casserait les autres
+# sites hébergés (Forgejo, iot-alarm, voltvision, etc.).
+
+- name: S'assurer que fail2ban est installé et actif
+  ansible.builtin.apt:
+    name: fail2ban
+    state: present
+
+- name: S'assurer que fail2ban est démarré et activé au boot
+  ansible.builtin.systemd:
+    name: fail2ban
+    state: started
+    enabled: true
+
+- name: S'assurer que les mises à jour de sécurité automatiques sont actives
+  ansible.builtin.apt:
+    name: unattended-upgrades
+    state: present
+
+- name: S'assurer que ufw est actif (deny incoming par défaut)
+  community.general.ufw:
+    state: enabled
+    policy: deny
+    direction: incoming
+
+- name: Autoriser le port WireGuard (règle spécifique à Tripoli Cloud)
+  community.general.ufw:
+    rule: allow
+    port: "{{ wireguard_listen_port }}"
+    proto: udp
+    comment: "tripoli-cloud : WireGuard admin"
+
+- name: SSH restreint au tunnel WireGuard uniquement
+  when: ssh_restrict_to_wireguard
+  block:
+    - name: Retirer la règle SSH publique (Anywhere)
+      community.general.ufw:
+        rule: allow
+        port: "22"
+        proto: tcp
+        delete: true
+
+    - name: Autoriser SSH uniquement depuis le sous-réseau WireGuard
+      community.general.ufw:
+        rule: allow
+        port: "22"
+        proto: tcp
+        src: "{{ wireguard_subnet }}"
+        comment: "tripoli-cloud : SSH admin via WireGuard uniquement"