DOUAWE VPN — TYPE SSTP POUR LES ROUTEURS ROUTEROS 6 (ex. RB951 de Kassemblé)
Ce zip REMPLACE le précédent « vpn produit » (il en contient tous les fichiers). Une migration : cliquez sur « Mettre à jour la base ». Votre fichier .env n'est PAS touché.
Prérequis : le serveur VPN doit déjà être en version 2.2 avec le service SSTP installé (c'est fait chez vous : « health » affiche 2.2.0 et sstp_port 4443).

=== 1. CE QUI CHANGE
 - Deux types de forfaits : « WireGuard » (RouterOS 7 + un téléphone) et « SSTP » (RouterOS 6, un routeur seul). Administration VPN > Forfaits VPN : choisissez le type à la création.
   Le type est verrouillé dès qu'un abonnement existe (le prix reste modifiable). Sans précision, un forfait est WireGuard, comme avant.
 - Un abonnement SSTP n'a qu'une carte « MikroTik » : pas de téléphone. Le reste est identique à WireGuard : identifiant et mot de passe créés à l'achat, trois accès dédiés (API / WinBox / WebFig),
   « Pinger le VPN », suspension à l'expiration et reprise à l'identique au renouvellement, révocation définitive après 90 jours.
 - On ne prolonge un abonnement qu'avec un forfait du MÊME type.
 - Le tunnel utilise un compte PPP GÉNÉRÉ (identifiant « dvN-xxxxxx », mot de passe aléatoire de 24 caractères) : jamais le mot de passe que le client choisit pour son compte de routeur.
 - Le script d'installation (« lien en une ligne » ou fichier .rsc) est écrit pour RouterOS 6 avec la syntaxe VALIDÉE sur votre RB951 : « connect-to=adresse:port », « disabled=no ». Il est REJOUABLE : une seconde importation met à jour sans rien dupliquer.
   Il crée le tunnel, deux règles de pare-feu limitées au serveur VPN (10.51.0.1) par ce tunnel seulement, le compte choisi à l'achat, et active API, WebFig et WinBox.

=== 2. KASSEMBLÉ : PASSER DU TUNNEL D'ESSAI À UN VRAI ABONNEMENT (proposé, sans coupure)
 Le tunnel d'essai « DOUAWE-SSTP1 » (compte « essai-kass », dont le mot de passe a été écrit en clair dans une conversation) reste en place le temps de la bascule.
 1. Forfaits VPN : créez un forfait de type SSTP (prix et durée au choix).
 2. Page « DOUAWE VPN » : achetez-le (offert pour vous) en choisissant l'identifiant et le mot de passe du compte du routeur (jamais « admin »).
 3. Carte MikroTik : « Créer le tunnel MikroTik » (nom : Kassemblé), puis « Générer le lien d'installation », et collez la ligne dans le Terminal WinBox de Kassemblé.
 4. Après 15 secondes : /interface sstp-client monitor [find name~"DOUAWE-SSTP"] once   (deux tunnels : l'essai et le nouveau, tous deux « connected »),  puis  /ping 10.51.0.1 count=4.
 5. Testez les trois adresses affichées sur la page (WinBox, WebFig) et « Pinger le VPN ».
 6. Seulement ensuite, retirez l'essai :
      Routeur :  /interface sstp-client remove [find name=DOUAWE-SSTP1]
                 /ip firewall filter remove [find where comment~"DOUAWE VPN essai"]
      VPS     :  sudo sed -i '/^essai-kass /d' /etc/ppp/chap-secrets
 Kassemblé reste sur SUNVPN pour WiFi Zone tant que vous ne basculez pas vous-même son adresse API (étape suivante du projet).

=== 3. SUPERVISION
 « En ligne / Hors ligne » d'un routeur SSTP vient de la liste des appareils du serveur (session PPP en cours). Si le serveur n'est pas à jour, le dernier état connu est conservé.
 L'audit WireGuard ignore les routeurs SSTP (ils n'ont pas de clé WireGuard).

=== 4. LIMITES, DITES CLAIREMENT
 - Validé sur votre RB951 (RouterOS 6.49.23) pour le tunnel, le ping et les trois ports (WinBox en 4G). RouterOS 7 en SSTP n'a PAS été essayé : pour un routeur RouterOS 7, prenez WireGuard.
 - Le serveur SSTP est un composant « alpha » (sstp-server 0.7.2) : correct pour de la gestion (WinBox, API, WebFig), pas pour faire passer toute la navigation d'un client.
 - Le certificat du serveur est auto-signé et le routeur ne le vérifie pas ; le contrôle de « liaison cryptographique » est désactivé (il échouait avec les clients courants). Durcissement possible plus tard : importer le certificat dans les routeurs et activer sa vérification.
 - Le port 4443 est ouvert à Internet ; seuls des comptes du fichier de comptes peuvent s'y connecter, avec un mot de passe aléatoire.
 - Le lien d'installation (24 h) contient le mot de passe du tunnel ET celui du compte choisi : le client ne doit pas le partager.
 - Les ports d'accès des routeurs SSTP ne sont connus du serveur que si la version 2.2 est installée ; sinon ils s'affichent « en cours de préparation » (php artisan vpn:adopt les prépare ensuite).
