labnet: DS-Lite ausgeschlossen (Dualstack+feste IPs); cfgmon-03 nachgelagert (Firewall-Lage abweichend)

Co-Authored-By: Claude Fable 5 <noreply@anthropic.com>
Claude-Session: https://claude.ai/code/session_01PKhFj1S3UdD6xL2fbWPeYj

hosts/cfgmon.md

@@ -104,7 +104,11 @@ still.
 
 ## CFGMON-03 — Prometheus-Remote-Write und Loki sind öffentlich ohne Auth
 
-**Status:** offen — **entscheidungsreif vorbereitet (2026-08-01 Nachtblock)**
+**Status:** Weg A beschlossen (sorb 2026-08-01) — **Betrachtung nachgelagert**:
+Beim Baseline-Check vom Mac aus waren 9090/3100 bereits zu (Timeout), OHNE dass der
+Console-Klick gemacht war — die reale Hetzner-Firewall-Lage weicht offenbar vom
+Backlog-Bild ab. Vor dem Abhaken einmal gemeinsam in die Console schauen: welche
+Regeln existieren wirklich, und läuft der GAME-Push (nach GAME-01) noch durch?
 
 **Vorbereitung/Empfehlung:** Absender-Inventur ergab: Der k3s/Matrix-Host pusht
 längst übers private Netz (10.0.0.3, verifiziert) — öffentlich brauchen 9090/3100

shared/lab-netzwerk.md

@@ -23,10 +23,11 @@ für das VLAN.
    Client-Log) — trennt Portweiterleitungs- von Routing-Problemen
 2. Fritzbox: Portfreigabe UDP (WireGuard-Port) → UDM noch vorhanden/korrekt?
    (FritzOS-Updates werfen gern Freigaben/Exposed-Host-Einstellungen um)
-3. Öffentliche Erreichbarkeit: IPv4 vs. DS-Lite/IPv6-Only-Anschluss? (häufigste
-   Ursache für „ging monatelang, dann nicht mehr" — Provider-Umstellung auf
-   DS-Lite bricht eingehendes IPv4; dann braucht es IPv6-Endpoint oder Relay)
-4. DynDNS-Eintrag aktuell? (Endpoint-Hostname → alte IP = stiller Bruch)
+3. ~~DS-Lite~~ **ausgeschlossen** (sorb 2026-08-01: Dualstack + feste IPs) —
+   damit auch kein DynDNS-Drift möglich. Verdacht konzentriert sich auf:
+   FritzOS-Update warf die UDP-Portfreigabe um, UniFi-OS-Update veränderte
+   WG-Server/Firewall, oder die statische Route griff nach Änderung nicht mehr.
+4. (entfällt — feste IP)
 5. UDM-Seite: WireGuard-Server-Config/Firewall-Regeln nach UniFi-OS-Updates
    prüfen; statische Route Fritzbox → VLAN gegenchecken
 6. Erst wenn 1–5 sauber: Client-Profil fürs Handy neu ausstellen, git.lab-DNS