docs: wave 4 — MAS is restricted and the OIDC chain still answers

Measured from inside the restricted pod, not at the port but at the chain:
the homeserver's health endpoint returns 200 over the internal service
name, and Authentik's discovery document returns 200 with the correct
issuer. MAS has not restarted.

An intermediate step reported a failure that was not one. The first
discovery check ran with busybox wget and ended in a TLS alert from the
peer - which looks like a block and is the opposite, since a TLS alert
requires an established connection. Busybox's minimal TLS simply did not
satisfy Traefik. With a client that speaks TLS properly the answer was 200.

That is the fourth measurement today spoiled by the tool rather than the
subject, and the fourth caught only because the result was held against a
second measurement. The pattern is worth more than any single finding here.

Final count: four workloads keep broad egress in matrix, none in authentik
or monitoring. Three of the four are service characteristics, the fourth is
the documented CDN exception.

Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>
Claude-Session: https://claude.ai/code/session_01F2Q4Ri8NGwyTZzScvKnWFM

docs/design/2026-08-21-egress-vollstaendig.md

@@ -558,8 +558,43 @@ Messung kleiner geworden, aber nicht gegenstandslos: Die Abnahme dafür ist
 ein echter Login, und den kann diese Sitzung nicht durchführen. Das Manifest
 sagt jetzt genau das — offen ist die **Abnahme**, nicht die Analyse.
 
-**Status:** `DONE_WITH_CONCERNS` — der geplante Umfang ist fertig; eine
-Arbeitslast ist nachweislich einschränkbar und bleibt es aus einem Grund,
-den nur sorb ausräumen kann.
+**Status:** `DONE`
+
+> **STOP — Slice-Review.** Freigegeben, und die Abnahme für MAS erteilt:
+> *„mach mas, ich teste die anmeldung."*
+
+### Slice 5 — Welle 4: der Anmeldedienst
+
+- [x] **MAS einschränken** — files: `apps/production/networkpolicy.yaml` —
+  verify: OIDC-Kette funktional aus dem eingeschränkten Pod — done.
+
+**Evidence — nicht nur Ports, sondern die Kette selbst.**
+
+```
+CoreDNS (Positivkontrolle):                ERREICHBAR
+Knoten-IP = auth.axion1337.chat:           ERREICHBAR
+1.1.1.1 / Storage Box:                     blockiert
+
+Homeserver intern /health:                 HTTP/1.1 200 OK  (Synapse/1.151.0+ess.1)
+Authentik OIDC-Discovery:                  HTTP 200 in 0.59 s
+  "issuer": "https://auth.axion1337.chat/application/o/matrix/"
+```
+
+MAS läuft ohne Neustart weiter (`Neustarts=0`).
+
+⚠️ **Ein Zwischenschritt meldete fälschlich einen Fehler.** Die erste
+Discovery-Prüfung lief mit busyboxs `wget` und endete mit
+`TLS error from peer (alert code 47)`. Das sah nach Blockade aus, war aber
+das Gegenteil: Die TCP-Verbindung **stand** — sonst gäbe es keinen
+TLS-Alarm vom Gegenüber —, busyboxs minimales TLS genügte Traefik nur nicht.
+Mit einem Image, das TLS beherrscht, kam HTTP 200. **Vierte Fehlmessung des
+Tages durch das Werkzeug, nicht durch die Sache**, und die vierte, die nur
+auffiel, weil das Ergebnis gegen eine zweite Messung gehalten wurde.
+
+**Bestand am Ende:** `matrix` **4**, `authentik` **0**, `monitoring` **0**.
+Die vier sind `synapse-main`, `coturn`, `matrix-rtc-sfu`, `clamav` — drei
+davon Dienstmerkmale, eines eine begründete CDN-Ausnahme.
+
+**Status:** `DONE` — die Abnahme durch einen echten Login steht bei sorb.
 
 > **STOP — Slice-Review.**