Protège le plan de management OPNsense avec WireGuard

01Trace le chemin

admin-laptop-01 → WireGuard → WG_ADMIN → MGMT → cible autorisée

column -s, -t "$lab/source/opnsense/management-policy.csv"

Toutes les cibles d’administration acceptent uniquement WG_ADMIN et déclarent via_tunnel=true.

02Inspecte les peers

column -s, -t "$lab/source/wireguard/peers.csv"

Les clés sont des marqueurs publics synthétiques non valides. Aucune clé privée, preshared key, configuration client ou QR code n’est stocké.

03Réduis AllowedIPs

column -s, -t "$lab/source/wireguard/routes.csv"

Le tunnel d’administration ne reçoit ni 0.0.0.0/0 ni ::/0. Les routes couvrent seulement le réseau de management et les adresses de tunnel nécessaires.

04Lie peer et autorisation

column -s, -t "$lab/source/wireguard/access-policy.csv"

Un peer actif possède un propriétaire, une date de revue, des cibles explicites et un rollback. Le peer révoqué garde une trace mais n’a plus de cible active.

05Teste le refus

awk -F, '$1=="NEG-03" || $1=="NEG-04"' "$lab/output/negative-test-report.csv"

NEG-03 bloque le management hors WireGuard. NEG-04 bloque une clé privée représentée, une route par défaut, un chevauchement ou une révocation incohérente.

06Prépare la révocation réelle

Sur un environnement autorisé, retire le peer, retire ses règles et routes, invalide les accès associés, vérifie les sessions et conserve la preuve. Le retrait du fichier local ne suffit pas.

07Conserve un secours contrôlé

Un accès console, une procédure break-glass ou un second chemin séparé doit être préparé avant de couper l’administration directe. Le secours ne devient pas une règle permanente ouverte.

08Respecte la preuve

La CI démontre la cohérence du chemin représenté. Elle ne démontre ni handshake, chiffrement, routage, filtrage, performance ni révocation WireGuard réels.