Passerelle : 10.10.0.1. Patte LAN du Virtual Router : 10.10.0.3 (ingress/NAT).
Accès admin : SSH uniquement via le bastion rac-jump-host (ProxyJump obligatoire).
Exposition publique : tout le trafic web passe par rac-edge — Caddy termine
le TLS (un certificat Let's Encrypt par sous-domaine de sandbox.afcloud.africa).
À compléter : schéma de flux, matrice firewall par VM.