---
# WireGuard : canal d'administration, pas un VPN "route tout le trafic".
# Chaque pair n'a le droit de joindre que l'autre bout du tunnel (/32),
# jamais le reste du réseau du serveur.
wireguard_listen_port: 58212 # port non standard : 51820 (défaut) est filtré
  # en amont par le pare-feu Hetzner Cloud sur ce projet ; voir README.
wireguard_server_address: "10.100.0.1/24"
wireguard_peers:
  - name: mac-admin
    public_key: "lG5XN+YazR4qgFH75kK41ouQGP00GBaygC1h85NrFmg="
    allowed_ips: "10.100.0.2/32"

# Tant que false, le SSH public (22/tcp depuis Anywhere) reste ouvert.
# À ne passer à true qu'après avoir vérifié que le tunnel WireGuard
# fonctionne depuis la machine d'administration - sinon risque de perdre
# l'accès root normal (recours : console de secours Hetzner).
ssh_restrict_to_wireguard: false
wireguard_subnet: "10.100.0.0/24"