feat(vpn): WireGuard-Server — Kunden waehlen sich per UDP 443 ein, ein Verteiler fuer alle

Einstellungen → VPN → WireGuard → Server: Einwahl anlegen (Name,
Kundennetz, LAN-IP der FritzBox); ARIA erzeugt beide Schluesselpaare + PSK,
⬇ liefert die Datei fuer die Gegenseite (FritzBox-Netzwerk-Kopplung oder
Standard-WireGuard). Jede Einwahl = eigener VPN-Satellit-Container mit
fester IP im Netz aria-vpn (10.213.213.0/24, ausserhalb von Dockers Pools).

Neuer Verteiler (satellite/vpn_relay.py, aria-vpn-relay, Host-Netz,
VPN_RELAY_PORT 51820): ordnet jedes Paket per WireGuard-mac1 bzw.
Sitzungsnummer dem richtigen Container zu, ohne zu entschluesseln; Fremdes
wird still verworfen. Anleitung NPM-Stream / ohne Nginx / ufw im ℹ des
Server-Reiters und im satellite/README.

Lokal Ende-zu-Ende getestet: zwei Kunden mit demselben Netz 192.168.178.0/24
gleichzeitig ueber einen Port, jeder erreicht nur sein eigenes LAN; kein Weg
Kunde → ARIA, Kunde 1 → Einwahl 2, Container → Internet; fremder Schluessel
und Muell am Verteiler ohne Antwort.

Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>

satellite/vpn_entry.py

@@ -149,9 +149,13 @@ def default_gw() -> str:
     return m.group(1)
 
 
-def firewall(rvs_ips: list[str], rvs_port: int, ep_ips: list[str]) -> None:
+def firewall(rvs_ips: list[str], rvs_port: int, ep_ips: list[str], listen: int = 0) -> None:
     rvs = ", ".join(rvs_ips) if rvs_ips else "127.0.0.2"
     eps = ", ".join(ep_ips) if ep_ips else "127.0.0.2"
+    # Server-Verbindung: der Verteiler (vpn_relay.py) reicht die Pakete der
+    # Gegenseite an diesen Port weiter — nur WireGuard, nur ueber eth0.
+    lin = f'iifname "eth0" udp dport {listen} accept' if listen else ""
+    lout = f'oifname "eth0" udp sport {listen} accept' if listen else ""
     # Nur die eigene Tabelle — "flush ruleset" wuerde Dockers NAT-Regeln fuer
     # den eingebauten DNS (127.0.0.11) im Container mit loeschen.
     sh("nft", "delete", "table", "inet", "vpnsat", check=False)
@@ -163,6 +167,7 @@ table inet vpnsat {{
     iif lo accept
     ct state established,related accept
     iifname "eth0" ip saddr @endpoints meta l4proto udp accept
+    {lin}
   }}
   chain forward {{
     type filter hook forward priority 0; policy drop;
@@ -174,6 +179,7 @@ table inet vpnsat {{
     oifname "{IFACE}" accept
     oifname "eth0" ip daddr {{ {rvs} }} tcp dport {rvs_port} accept
     oifname "eth0" ip daddr @endpoints meta l4proto udp accept
+    {lout}
   }}
 }}
 """
@@ -221,7 +227,7 @@ def setup(c: dict) -> dict:
             else:
                 sh("ip", "route", "replace", str(net), "dev", IFACE)
             nets.append(str(net))
-    firewall(rvs_ips, rvs_port, ep_ips)
+    firewall(rvs_ips, rvs_port, ep_ips, int(c["iface"].get("listenport") or 0))
     log.info("Tunnel %s oben: Netze %s, Endpunkt(e) %s", IFACE, ", ".join(nets) or "-", ", ".join(ep_ips) or "-")
     return {"nets": nets, "endpoints": ep_ips}