Connecter un banc de qualification avec WireGuard : accès d’administration à moindre privilège

24 AOÛT 2026 · 7 MIN DE LECTURE

Exposer directement le port SSH ou l’interface web d’administration d’un hyperviseur de pré-production sur un accès public est une prise de risque inutile. WireGuard permet de bâtir un accès d’administration cryptographiquement sobre, rapide et silencieux aux scans.

Contrairement aux piles VPN historiques lourdes à auditer, WireGuard repose sur un code noyau réduit et des primitives cryptographiques fixées (Noise, Curve25519, ChaCha20-Poly1305). Surtout, il ne répond à aucun paquet UDP tant que pair et clé publique ne sont pas authentifiés : pour un scanner externe, le port paraît fermé ou filtré.

Sur un banc de qualification pré-production, chaque équipement d’administration possède sa propre paire de clés et une directive AllowedIPs limitée aux seuls sous-réseaux nécessaires (administration hors bande, supervision), évitant qu’un poste nomade compromis ne devienne un pont ouvert vers l’intégralité des VLAN internes.

Règles d’hygiène sur un accès WireGuard

Une clé par terminal

Ne jamais partager un fichier de configuration entre deux postes afin de pouvoir révoquer un appareil perdu en une ligne.

AllowedIPs minimaliste

N’annoncer dans le tunnel que les sous-réseaux d’administration requis plutôt qu’un routage global par défaut.

Filtrage PostUp explicite

Coupler l’interface wg0 à des règles nftables qui restreignent quels pairs accèdent à quels ports internes.

PersistentKeepalive maîtrisé

Maintenir la traversée NAT à 25 secondes sur les pairs derrière un routeur opérateur sans dégrader l’autonomie.

Verbatim

Le meilleur port d’administration est celui qui n’existe tout simplement pas depuis Internet public.

· Note d’exploitation · Accès d’administration

[Interface]
Address = 10.99.0.1/24
ListenPort = 51820
PrivateKey = <CLE_PRIVEE_PASSERELLE>
# Seul le poste admin autorisé peut joindre l'hyperviseur en HTTPS/SSH
PostUp   = nft add rule inet filter forward iifname "wg0" ip saddr 10.99.0.10 ip daddr 10.10.0.0/24 tcp dport { 22, 8006 } accept
PostDown = nft flush chain inet filter forward

[Peer]
# Poste d'administration principal
PublicKey = <CLE_PUBLIQUE_ADMIN>
PresharedKey = <PSK_ADDITIONNELLE>
AllowedIPs = 10.99.0.10/32

Configuration type d’une passerelle WireGuard durcie n’autorisant l’accès qu’au VLAN de gestion.

← Tous les écrits