nas-runbooks/common/wg-easy-decommission-tailscale.md

Décommission wg-easy (remplacé par Tailscale) — 08/07/2026

Contexte

Tailscale installé sur NAS, VPS Contabo, Mac, iPhone, iPad. wg-easy (VPN d'accès distant admin/perso au NAS, container Docker, network_mode host, port UDP 51820) devenait redondant : seul Nabil l'utilisait, uniquement pour l'accès distant à ses propres appareils — usage désormais couvert par Tailscale.

Ne pas confondre avec les autres WireGuard de la stack

• wg-admin (bastion VPS Contabo ↔ NAS, canal admin pur) : déjà remplacé par Tailscale lors de la clôture du projet Contabo/Ahmed (06/07/2026). Rien à faire, acquis.
• wg0 KeepSolid (VPS Contabo, tunnel vers fournisseur VPN commercial pour qBittorrent + kill-switch) : à ne jamais toucher. Ce n'est pas un VPN d'accès distant type Tailscale, c'est un tunnel d'anonymisation du trafic torrent vers un fournisseur tiers. Tailscale (réseau maillé entre appareils personnels) ne remplace pas cette fonction.
• wg-easy (NAS, ce runbook) : décommissionné.

Action effectuée

1. Vérifié usage exclusif par Nabil (aucun tiers, aucun service dépendant) avant suppression.
2. docker compose down depuis /volume1/docker/wg-easy (SSH Best0f, port 22222) → container stoppé et supprimé proprement.
3. Dossier renommé en archive plutôt que supprimé : /volume1/docker/wg-easy → /volume1/docker/wg-easy.archived-20260708 (conserve wg0.conf/wg0.json et la config peers au cas où un rollback serait nécessaire).
4. Vérifié port UDP 51820 libéré (plus de listener).
5. Stack containers Docker actifs : 43 → 42.

Piège à connaître si réactivation future

Image épinglée en v13 (pas latest/v14+) car v13 conserve le format wg0.json compatible avec les peers migrés depuis l'ancienne VM. v14+ change de format et bascule sur PASSWORD_HASH au lieu de PASSWORD — une réactivation depuis l'archive doit repartir sur l'image v13 telle quelle, pas sur latest.

Rollback si besoin

mv /volume1/docker/wg-easy.archived-20260708 /volume1/docker/wg-easy && cd /volume1/docker/wg-easy && docker compose up -d (compte Best0f, /usr/local/bin/docker, pas de CLI docker dans mcp-nas).