# Infra — Máquinas e rede

> Situação: **quem é cada servidor e como se conectam.**

Rede privada **WireGuard** `10.99.0.0/24`.

| VPS | IP | Papel | Docker |
|---|---|---|---|
| VPS1 | 10.99.0.1 | **Produção** (Traefik/TLS + apps) | rootless |
| VPS3 | 10.99.0.3 | **Dados & Controle**: PostgreSQL, Gitea, Registry, Dragonfly, NATS, Temporal | — |
| VPS4 | 10.99.0.4 | **Dev + Builder** (código, runner do CI, banco `pgdev`) | rootless |

- **Código (fonte da verdade):** Gitea na VPS3.
- **Registry de imagens:** Container Registry embutido do Gitea — `git.clube67.com`, namespace `ruicesar/`. Não há `registry:2` separado.
- **Roteamento:** Traefik (VPS1) termina TLS e roteia por host: `<projeto>` → containers de produção locais; `dev.<projeto>` → `10.99.0.4:<porta>` (VPS4) via WireGuard.
- **Produção é rootless:** comandos `docker` na VPS1 usam `DOCKER_HOST=unix:///run/user/1000/docker.sock`.