netpol: wave 4 — the authentication service loses its outbound too (#0088)

Its configuration was read from the running process yesterday: the
homeserver by internal service name, Authentik by its public name. Public
names resolve to the node address, and traffic there is not subject to the
policy at all - so the upstream path survives the restriction while
everything else goes.

Held back until now on purpose, because a mistake here hits sign-in and the
analysis alone is not an acceptance. The owner is testing a login against
this change; if it fails, the revert is one commit and about a minute,
rehearsed in wave 1.

Congruence rechecked: twenty-one excluded, the same twenty-one narrowly
ruled.

Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>
Claude-Session: https://claude.ai/code/session_01F2Q4Ri8NGwyTZzScvKnWFM

apps/production/networkpolicy.yaml

@@ -460,16 +460,6 @@ spec:
   #                  das ist eigene Infrastruktur und bewusst nicht Teil von
   #                  #0088. Bis dahin: Ausgang offen, Grund hier.
   #
-  #   matrix-authentication-service
-  #                  ⚠️ Nur noch aus Vorsicht hier. Am 2026-08-21 aus dem
-  #                  laufenden Prozess gelesen: Upstream ist Authentik unter
-  #                  https://auth.axion1337.chat/application/o/matrix/ , der
-  #                  Homeserver ueber den internen Service-Namen. Der
-  #                  oeffentliche Name loest auf die Knoten-Adresse auf, und
-  #                  die unterliegt der Policy ohnehin nicht. MAS waere damit
-  #                  einschraenkbar - offen ist nur die Abnahme, weil ein
-  #                  Irrtum hier die Anmeldung trifft.
-  #
   # ⚠️ Der Ausschluss muss HIER stehen, nicht in einer zusaetzlichen engen Policy:
   # NetworkPolicies sind additiv. Solange diese Policy 0.0.0.0/0 fuer einen Pod
   # erlaubt, aendert eine zweite, strengere Regel fuer denselben Pod nichts.
@@ -491,6 +481,10 @@ spec:
           - wikijs-gruppenpruefung
           - haproxy
           - draupnir
+          # Welle 4 (#0088): Upstream ist Authentik ueber den oeffentlichen
+          # Namen, der auf die Knoten-Adresse zeigt - die unterliegt der
+          # Policy nicht. Homeserver ueber den internen Service-Namen.
+          - matrix-authentication-service
           # Welle 2 (#0088): je genau ein Ziel, eigene Policy unten.
           - synapse-backup
           - wikijs-backup
@@ -568,6 +562,10 @@ spec:
           - wikijs-gruppenpruefung
           - haproxy
           - draupnir
+          # Welle 4 (#0088): Upstream ist Authentik ueber den oeffentlichen
+          # Namen, der auf die Knoten-Adresse zeigt - die unterliegt der
+          # Policy nicht. Homeserver ueber den internen Service-Namen.
+          - matrix-authentication-service
           # Welle 1 (#0088): Deploy- und Hilfs-Arbeitslasten.
           - matrix-rtc-authorisation-service
           - wikijs-config