docs: resolve four of the eight LABNET-02 contradictions (#0027)

W2 was already covered — the ping trap lives in the textbloecke, and the firewall
exception is conditional. W3 fixed: cfgmon.md listed the runner as running though
it was dismantled on 2026-08-01; row removed and, rather than leaving the open
question, the page now states that the service table is current state while the
sections below are history. W6: addendum practice had proven itself twice but was
undefined, so the AAR template now makes it a rule — append-only and dated, so the
original mistake stays readable. W7: ADR-0009 unified the identities but AGENTS.md
only said 'canonical author identity' without naming it; now spelled out.

W1, W4, W5 and W8 need sorb's decision and are written up with what each one
costs if left alone — W8 (root SSH on the gateway) being the sharpest.

Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>

docs/aar/template.md

@@ -32,3 +32,17 @@ related: []             # design docs, issues, ADRs involved
      framework issues opened, tests added. When all actions are done,
      set status: harvested. The refinement session walks all AARs
      still marked open. -->
+
+<!-- ## Nachtrag YYYY-MM-DD — <Thema>   (optional, append-only)
+
+     Nachträge sind erlaubt und haben sich bewährt (Korrekturen, spätere
+     Auflösung eines offenen Punktes). Regeln:
+     - ANHÄNGEN, nie oben im Text nachbessern: der ursprüngliche Stand bleibt
+       lesbar, sonst verschwindet genau der Irrtum, aus dem man lernen wollte.
+     - Datiert überschreiben und benennen, was sich geändert hat.
+     - Widerspricht ein Nachtrag einer früheren Aussage, dort einen Verweis
+       setzen ("→ korrigiert im Nachtrag vom …") statt sie umzuschreiben.
+     - Befunde-Tabellen dürfen nachträglich um Issue-Referenzen ergänzt werden
+       (reine Vervollständigung, kein Nachtrag nötig).
+     Wächst ein AAR über ~drei Nachträge hinaus, gehört das Thema in ein
+     eigenes Folge-AAR statt in den vierten Anhang. -->