Le forward de box 77.207.176.170:42070 est mort : tower devient pair client du hub wg1 avec persistentKeepalive. L'alias ssh tower pointe sur 10.100.0.3 et la cle root du VPS est autorisee sur tower. Cle privee dans secrets/wireguard.yml (recipient tower).