shared: LABNET-01 - WireGuard-Roadwarrior ins Lab kaputt (blockiert gitops#48)

Co-Authored-By: Claude Fable 5 <noreply@anthropic.com>
Claude-Session: https://claude.ai/code/session_01PKhFj1S3UdD6xL2fbWPeYj

shared/lab-netzwerk.md

@@ -0,0 +1,37 @@
+# Lab-Netzwerk (Heimnetz: Fritzbox + UDM Pro)
+
+Themen rund um das Homelab-Netz selbst — Router-Kaskade, VLANs, VPN-Zugänge.
+Hosts im Lab: Overmind (git.lab, [hosts/overmind.md](../hosts/overmind.md)),
+der Mac. Kaskade: **Fritzbox (WAN) → UDM Pro**, kein Doppel-NAT, statische
+Route in der Fritzbox für das Lab-VLAN.
+
+---
+
+## LABNET-01 — WireGuard-Roadwarrior ins Lab kaputt (seit einigen Monaten)
+
+**Status:** offen — **blockiert gitops#48** (Issue-Migration: Erreichbarkeits-
+Entscheidung ist „WireGuard statt GitLab exponieren")
+
+sorb hatte einen funktionierenden VPN-Zugang fürs Handy ins Lab; seit einigen
+Monaten „funktioniert das nicht mehr sauber" (Symptome noch zu präzisieren:
+Handshake? Routing nur teilweise? DNS?). Setup-Rahmen laut sorb (2026-08-01):
+UDM Pro hinter Fritzbox, ohne doppeltes NAT, statische Route in der Fritzbox
+für das VLAN.
+
+**Diagnose-Plan (gemeinsame Session, braucht Zugriff auf beide Router-UIs):**
+1. Symptom präzisieren: Handshake kommt zustande? (`wg show` auf der UDM /
+   Client-Log) — trennt Portweiterleitungs- von Routing-Problemen
+2. Fritzbox: Portfreigabe UDP (WireGuard-Port) → UDM noch vorhanden/korrekt?
+   (FritzOS-Updates werfen gern Freigaben/Exposed-Host-Einstellungen um)
+3. Öffentliche Erreichbarkeit: IPv4 vs. DS-Lite/IPv6-Only-Anschluss? (häufigste
+   Ursache für „ging monatelang, dann nicht mehr" — Provider-Umstellung auf
+   DS-Lite bricht eingehendes IPv4; dann braucht es IPv6-Endpoint oder Relay)
+4. DynDNS-Eintrag aktuell? (Endpoint-Hostname → alte IP = stiller Bruch)
+5. UDM-Seite: WireGuard-Server-Config/Firewall-Regeln nach UniFi-OS-Updates
+   prüfen; statische Route Fritzbox → VLAN gegenchecken
+6. Erst wenn 1–5 sauber: Client-Profil fürs Handy neu ausstellen, git.lab-DNS
+   (Lab-Resolver) in die AllowedIPs/DNS-Konfig aufnehmen — Erfolgsbeweis =
+   Issue-Board vom Handy über VPN erreichbar
+
+**Verwandt:** gitops#48 (Cutover erst nach Lösung), perspektivisch ersetzt ein
+funktionierender Roadwarrior auch Ad-hoc-Wünsche wie „GitLab exponieren".