Task: WireGuard VPN par Instance SSH

Date: 27/01/2026 Status: TERMINÉ Duree estimee: Session complete

Objectif

Permettre a chaque instance SSH de configurer un tunnel VPN WireGuard pour acceder a des machines distantes de maniere securisee.

Architecture choisie

Sidecar WireGuard : Container dedie qui expose une API REST pour gerer les tunnels.

connectors-api (5400) --HTTP--> wireguard-sidecar (5410) --WireGuard--> Peers

Travail realise

1. Backend - Service WireGuard

Fichier: /stock_8to/33800-stack/projects/connectors-api/src/services/wireguard.ts

Fonctionnalites:

• Generation de cles (paire public/privee)
• Configuration VPN (endpoint, peer, allowed_ips, address, dns, keepalive)
• Connect/Disconnect tunnel
• Status (connected, transfer, handshake, uptime)
• Limites par user (max 5 tunnels, configurable)
• Auto-connect au redemarrage (optionnel)
• Chiffrement cles privees AES-256-CBC
• Audit logs

2. Backend - Endpoints API

Fichier: /stock_8to/33800-stack/projects/connectors-api/src/index.ts

3. Sidecar WireGuard

Dossier: /stock_8to/33800-stack/docker/stacks/wireguard-sidecar/

Fichiers crees:

• app.py - API FastAPI (generate keys, connect, disconnect, status, list)
• Dockerfile - Python Alpine + wireguard-tools
• requirements.txt - fastapi, uvicorn, pydantic
• docker-compose.yml - Capabilities NET_ADMIN, reseau supabase-prod

4. Frontend - Composant VPN

Fichier: /stock_8to/33800-stack/projects/connectors-front/src/components/VpnConfig.tsx

Fonctionnalites:

• Generation cles avec bouton
• Affichage cle publique (copiable)
• Formulaire config (endpoint, peer key, allowed IPs, address, DNS, keepalive)
• Option auto-connect
• Boutons Connect/Disconnect
• Status en temps reel (badge, transfer, uptime)
• Suppression config

5. Integration page instance

Fichier: /stock_8to/33800-stack/projects/connectors-front/src/routes/connectors/instance/[id]/index.tsx

• Import VpnConfig
• Section "VPN WireGuard" dans accordeon (visible uniquement pour SSH)

6. Configuration

Fichier: /stock_8to/33800-stack/projects/connectors-api/conf.prod.gouroubleu.yml

• Ajout variable WIREGUARD_SIDECAR_URL

7. Documentation

Fichier: ~/.claude/memory/ssh-connector.md

• Section WireGuard VPN ajoutee

Fichiers modifies/crees

Crees

• connectors-api/src/services/wireguard.ts
• docker/stacks/wireguard-sidecar/app.py
• docker/stacks/wireguard-sidecar/Dockerfile
• docker/stacks/wireguard-sidecar/requirements.txt
• docker/stacks/wireguard-sidecar/docker-compose.yml
• connectors-front/src/components/VpnConfig.tsx

Modifies

• connectors-api/src/index.ts (import + endpoints VPN)
• connectors-api/conf.prod.gouroubleu.yml (env WIREGUARD_SIDECAR_URL)
• connectors-front/src/routes/connectors/instance/[id]/index.tsx (import + section VPN)
• ~/.claude/memory/ssh-connector.md (documentation)

Prochaines etapes

• [x] Push wireguard-sidecar vers GitLab (CI/CD configure)
• [x] Push smart-deploy vers GitLab (support cap_add, devices, sysctls + volumes top-level)
• [x] Push connectors-api vers GitLab (pipeline CI/CD)
• [x] Push connectors-front vers GitLab (pipeline CI/CD)
• [x] Deployer sidecar wireguard sur prod-portainer (port 5410)
• [x] Tester generation cles (API fonctionnelle)
• [ ] Tester connexion VPN vers 86000 (Raph) - TEST UTILISATEUR
• [ ] Verifier audit logs - TEST UTILISATEUR

Tests prevus

• [ ] API generate-keys retourne public_key
• [ ] API configure valide les CIDR
• [ ] API connect demarre tunnel via sidecar
• [ ] API status retourne infos connexion
• [ ] Frontend affiche config et status
• [ ] Tunnel VPN permet SSH vers reseau distant