# /etc/wireguard/lab.conf auf CFGMON — Mode 0600, root:root.
#
# Werte aus ADR-0004 (Architektur v2) und ADR-0017 (Split-DNS-Zonen).
# CFGMON ist CLIENT/Initiator; die UDM ist der WireGuard-SERVER. Die Richtung ist
# umgedreht gegenueber dem urspruenglichen Entwurf, weil UniFi WireGuard nur als
# Server anbietet ("Networks Behind Client" fuer die Rueckroute).
#
# ⚠️ PrivateKey NICHT ins Repo. Beim Verlust auf der UDM ein neues Keypair fuer den
#    Client "Hetzner" erzeugen und hier eintragen.

[Interface]
# Adresse dieses Clients im Tunnelnetz 10.58.75.0/24
Address = 10.58.75.2/32
PrivateKey = <PRIVATE KEY DES CLIENTS "Hetzner" — von der UDM, nie ins Repo>

# Split-DNS: nur diese Zonen gehen an den Lab-Resolver, alles andere an den
# System-Resolver. Begruendung je Zone in ADR-0017.
#   ~lab           -> git.lab / wiki.lab (existieren oeffentlich nicht)
#   ~axionlabs.de  -> ca.axionlabs.de zeigt intern auf 10.58.73.13 (Split-Horizon)
#   ~axion1337.de  -> git.axion1337.de existiert nur intern
# ~lab.de wurde per ADR-0017 entfernt: kein interner Name darunter, und es leitete
# eine fremde oeffentliche Domain ueber den Lab-Resolver.
DNS = 10.58.73.1
Domains = ~lab ~axionlabs.de ~axion1337.de

[Peer]
PublicKey = <PUBLIC KEY DES UDM-SERVERS — mit `wg show` AM GERAET gegenlesen>

# Bewusst eng: nur das Lab-VLAN und der Server im Tunnelnetz. KEIN 0.0.0.0/0 —
# der oeffentliche Verkehr von CFGMON darf nicht durch den Tunnel.
AllowedIPs = 10.58.73.0/24, 10.58.75.1/32

# "Alternate Address for Clients" der UDM; Port 51841 (NICHT 51820 — der Versatz
# zwischen Fritzbox-Freigabe und UDM-Port hat eine halbe Nacht gekostet).
Endpoint = 178.25.213.70:51841

# CFGMON haelt den Tunnel offen; die Lab-Seite kann ihn nicht selbst oeffnen
# (Bedarfsfall-Prinzip: der Schalter liegt in der UniFi-UI).
PersistentKeepalive = 25