ledger: gates 4 and 5 for #0088, and a precision fix on the DNS rung

The gate rows can only name their commit once it exists, so they follow the
work rather than riding along with it.

The ladder rung about the DNS pointer said the Corefile imports
`custom/*.override`. Measured against the running Corefile it imports both —
`*.override` inside the main block and `*.server` at the end. The choice of
`.server` was not arbitrary: a second `hosts` block in the main block would
collide with `NodeHosts`. The rung now says so.

docs/ledger/2026-08-21-egress-vollstaendig.md

@@ -14,6 +14,8 @@ related:
 
 | gate | commit | approval | status | note |
 |---|---|---|---|---|
+| 5 | 52326f4 | sorb | DONE | Abnahmeliste vollstaendig, Call gemessen; ADR-0025 angenommen, #0088 geschlossen. |
+| 4 | b0837b7 | sorb | DONE | Fuenf Slices in vier Wellen; Rueckweg in Slice 1 geprobt und Gate 2 korrigiert. |
 | 3 | a7d561b | sorb | DONE | Klassen, Regelform, rohana intern statt extern. |
 | 2 | 1dc5439 | sorb | DONE | Drei Klassen, CIDR-only, ClamAV als harter Fall benannt. |
 | 1 | 04b1b84 | sorb | DONE | Umfang und vier zaehlbare Abnahmekriterien; #0088 auf in-progress. |
@@ -29,7 +31,7 @@ related:
 | das git-storage-Ziel von wikijs, statt es zu raten | steht nicht im Manifest, sondern in der Wiki.js-Datenbank: `https://rohana.axion1337.de/sorb/ThreadNetWiki.git` | reused: die laufende Konfiguration als Quelle — Klasse B bestaetigt | |
 | ob die Sperre von gestern ueberhaupt beisst, bevor neue dazukommen | drei echt externe Ziele blockiert, die Knoten-Adresse erreichbar | built: nichts — aber der Fund aendert die Klasseneinteilung und gehoert ins Issue | |
 | einen privaten Weg zu rohana, auf sorbs Einwand hin | `10.0.0.3:443` antwortet als Gitea und traegt ein gueltiges Let's-Encrypt-Zertifikat fuer den oeffentlichen Namen | reused: der vorhandene private Pfad statt einer Erlaubnis nach draussen — kein Dienst muss umkonfiguriert werden | |
-| einen Weg, den Namen intern umzubiegen | die Corefile importiert bereits `/etc/coredns/custom/*.override`; nur die ConfigMap fehlt | reused: der vorgesehene k3s-Mechanismus, keine Aenderung an der Corefile selbst | |
+| einen Weg, den Namen intern umzubiegen | die Corefile importiert bereits beides: `*.override` im Hauptblock (Z. 19) und `*.server` am Ende (Z. 22); nur die ConfigMap fehlt | reused: der vorgesehene k3s-Mechanismus, keine Aenderung an der Corefile selbst — `.server`, weil eine eigene Zone noetig ist und ein zweiter `hosts`-Block im Hauptblock mit `NodeHosts` kollidiert waere | |
 | einen Weg, einen distroless Pod zu pruefen | `kubectl debug` haengt einen ephemeren Container in denselben Netz-Namensraum, die Policy gilt fuer ihn genauso | reused: Bordmittel statt Sidecar oder Image-Aenderung | |
 
 ## Notes