DOUAWE VPN — SSTP (ROUTEROS 6) ET « AJOUTER CE ROUTEUR À WIFI ZONE » EN UN CLIC
Ce zip REMPLACE le précédent « vpn sstp » (il en contient tous les fichiers). Une migration : cliquez sur « Mettre à jour la base ». Votre fichier .env n'est PAS touché.
Prérequis : le serveur VPN doit déjà être en version 2.2 avec le service SSTP installé (c'est fait chez vous : « health » affiche 2.2.0 et sstp_port 4443).

=== 0. NOUVEAU : « AJOUTER CE ROUTEUR À WIFI ZONE » (WireGuard ET SSTP)
 Sur la carte d'un routeur MikroTik (page « DOUAWE VPN »), à côté de « Pinger le VPN » : le bouton crée la fiche du routeur dans WiFi Zone sans rien saisir :
   - nom = celui de l'appareil ; adresse = l'adresse API dédiée du routeur (ex. vpn.douaweproshop.ci:31445) ; identifiant et mot de passe = ceux choisis à l'achat ;
   - la connexion est TESTÉE d'abord (comme le bouton « Connecter » du formulaire) : si le routeur ne répond pas, RIEN n'est enregistré et le message dit quoi vérifier (le lien d'installation a-t-il été exécuté ?) ;
   - un second clic ne crée jamais de doublon : il ouvre la fiche existante (« Voir dans WiFi Zone ») ;
   - la limite de routeurs de l'espace est respectée ; seuls l'administrateur et le gérant de l'espace (droit « gérer les routeurs ») voient le bouton ;
   - la synchronisation des profils démarre toute seule ; le mot de passe n'apparaît ni dans les messages ni dans le journal d'activité, et il est chiffré en base.
 Prérequis : l'identifiant et le mot de passe du compte du routeur doivent être définis (achat, ou « Créer l'identifiant et le mot de passe » sur la carte) ET le lien d'installation exécuté sur le routeur (c'est lui qui crée le compte et active le service API).
 Kassemblé : déjà ajouté à la main avec son adresse API ; le bouton propose alors « Voir dans WiFi Zone » dès que l'adresse correspond. Sinon, supprimez la fiche manuelle ou gardez-la telle quelle.

=== 1. CE QUI CHANGE (SSTP)
 - Deux types de forfaits : « WireGuard » (RouterOS 7 + un téléphone) et « SSTP » (RouterOS 6, un routeur seul). Administration VPN > Forfaits VPN : choisissez le type à la création.
   Le type est verrouillé dès qu'un abonnement existe (le prix reste modifiable). Sans précision, un forfait est WireGuard, comme avant.
 - Un abonnement SSTP n'a qu'une carte « MikroTik » : pas de téléphone. Le reste est identique à WireGuard : identifiant et mot de passe créés à l'achat, trois accès dédiés (API / WinBox / WebFig),
   « Pinger le VPN », suspension à l'expiration et reprise à l'identique au renouvellement, révocation définitive après 90 jours.
 - On ne prolonge un abonnement qu'avec un forfait du MÊME type.
 - Le tunnel utilise un compte PPP GÉNÉRÉ (identifiant « dvN-xxxxxx », mot de passe aléatoire de 24 caractères) : jamais le mot de passe que le client choisit pour son compte de routeur.
 - Le script d'installation (« lien en une ligne » ou fichier .rsc) est écrit pour RouterOS 6 avec la syntaxe VALIDÉE sur votre RB951 : « connect-to=adresse:port », « disabled=no ». Il est REJOUABLE : une seconde importation met à jour sans rien dupliquer.
   Il crée le tunnel, deux règles de pare-feu limitées au serveur VPN (10.51.0.1) par ce tunnel seulement, le compte choisi à l'achat, et active API, WebFig et WinBox.

=== 2. KASSEMBLÉ : PASSER DU TUNNEL D'ESSAI À UN VRAI ABONNEMENT (proposé, sans coupure)
 Le tunnel d'essai « DOUAWE-SSTP1 » (compte « essai-kass », dont le mot de passe a été écrit en clair dans une conversation) reste en place le temps de la bascule.
 1. Forfaits VPN : créez un forfait de type SSTP (prix et durée au choix).
 2. Page « DOUAWE VPN » : achetez-le (offert pour vous) en choisissant l'identifiant et le mot de passe du compte du routeur (jamais « admin »).
 3. Carte MikroTik : « Créer le tunnel MikroTik » (nom : Kassemblé), puis « Générer le lien d'installation », et collez la ligne dans le Terminal WinBox de Kassemblé.
 4. Après 15 secondes : /interface sstp-client monitor [find name~"DOUAWE-SSTP"] once   (deux tunnels : l'essai et le nouveau, tous deux « connected »),  puis  /ping 10.51.0.1 count=4.
 5. Testez les trois adresses affichées sur la page (WinBox, WebFig) et « Pinger le VPN ».
 6. Seulement ensuite, retirez l'essai :
      Routeur :  /interface sstp-client remove [find name=DOUAWE-SSTP1]
                 /ip firewall filter remove [find where comment~"DOUAWE VPN essai"]
      VPS     :  sudo sed -i '/^essai-kass /d' /etc/ppp/chap-secrets
 Kassemblé reste sur SUNVPN pour WiFi Zone tant que vous ne basculez pas vous-même son adresse API (étape suivante du projet).

=== 3. SUPERVISION
 « En ligne / Hors ligne » d'un routeur SSTP vient de la liste des appareils du serveur (session PPP en cours). Si le serveur n'est pas à jour, le dernier état connu est conservé.
 L'audit WireGuard ignore les routeurs SSTP (ils n'ont pas de clé WireGuard).

=== 4. LIMITES, DITES CLAIREMENT
 - Validé sur votre RB951 (RouterOS 6.49.23) pour le tunnel, le ping et les trois ports (WinBox en 4G). RouterOS 7 en SSTP n'a PAS été essayé : pour un routeur RouterOS 7, prenez WireGuard.
 - Le serveur SSTP est un composant « alpha » (sstp-server 0.7.2) : correct pour de la gestion (WinBox, API, WebFig), pas pour faire passer toute la navigation d'un client.
 - Le certificat du serveur est auto-signé et le routeur ne le vérifie pas ; le contrôle de « liaison cryptographique » est désactivé (il échouait avec les clients courants). Durcissement possible plus tard : importer le certificat dans les routeurs et activer sa vérification.
 - Le port 4443 est ouvert à Internet ; seuls des comptes du fichier de comptes peuvent s'y connecter, avec un mot de passe aléatoire.
 - Le lien d'installation (24 h) contient le mot de passe du tunnel ET celui du compte choisi : le client ne doit pas le partager.
 - Les ports d'accès des routeurs SSTP ne sont connus du serveur que si la version 2.2 est installée ; sinon ils s'affichent « en cours de préparation » (php artisan vpn:adopt les prépare ensuite).
