Backlog: WireGuard VPN par instance SSH

Date creation: 27/01/2026 Priorite: MOYENNE Estimee: Session complete

Contexte

L'utilisateur souhaite pouvoir configurer un VPN WireGuard pour chaque instance SSH, permettant d'acceder a des machines distantes de maniere securisee via tunnel.

Option retenue

Option A : wireguard-go (userspace)

• Pas besoin de module kernel
• Fonctionne dans un container Docker
• Cross-platform

Implementation prevue

1. Backend (connectors-api)

Nouveaux champs instance SSH :

interface SSHInstance {
  // ... existants
  vpn_config?: {
    enabled: boolean;
    private_key: string;      // Genere automatiquement
    public_key: string;
    endpoint: string;         // IP:Port du peer
    peer_public_key: string;  // Cle publique du serveur distant
    allowed_ips: string;      // ex: "10.0.0.0/24"
    dns?: string;
  };
}

Nouveaux endpoints :

• POST /api/instances/:id/vpn/generate-keys - Genere paire de cles
• PUT /api/instances/:id/vpn - Configure VPN
• POST /api/instances/:id/vpn/connect - Demarre tunnel
• POST /api/instances/:id/vpn/disconnect - Arrete tunnel
• GET /api/instances/:id/vpn/status - Status connexion

Service VPN :

• src/services/wireguard.ts
• Utilise wireguard-go via child process
• Gere les interfaces virtuelles
• Stocke les connexions actives en memoire

2. Frontend (connectors-front)

Page instance (/connectors/instance/[id]) :

• Section "VPN WireGuard" dans les parametres
• Formulaire de configuration :
  • Endpoint distant (IP:Port)
  • Cle publique du peer
  • IPs autorisees (CIDR)
  • DNS optionnel
• Bouton "Generer mes cles"
• Affichage cle publique (a donner au serveur distant)
• Toggle Connect/Disconnect
• Indicateur status (connecte/deconnecte)

3. Docker

Modifications docker-compose :

• Ajouter wireguard-go dans l'image ou comme sidecar
• Capabilities requises : NET_ADMIN, SYS_MODULE
• Volume pour stocker les configs /etc/wireguard

4. Securite

• Cles privees chiffrees en BDD (comme les tokens SSH)
• Validation des CIDR autorises
• Rate limiting sur les connexions VPN
• Audit log des connexions/deconnexions

Dependances

• wireguard-go : https://github.com/WireGuard/wireguard-go
• Package npm pour generer les cles (ou via CLI wg)

Tests

• [ ] Generation de cles
• [ ] Sauvegarde config
• [ ] Connexion VPN
• [ ] Acces SSH via tunnel
• [ ] Deconnexion propre
• [ ] Logs d'audit

Notes

• Alternative : utiliser un container WireGuard dedie et communiquer via API
• Le frontend ne voit jamais la cle privee (generee et stockee cote serveur)
• Prevoir un timeout de connexion inactif (garbage collection)