cfgmon: CFGMON-03 entscheidungsreif vorbereitet, threadnet-operating-Reset-Notiz

Co-Authored-By: Claude Fable 5 <noreply@anthropic.com>
Claude-Session: https://claude.ai/code/session_01PKhFj1S3UdD6xL2fbWPeYj

hosts/cfgmon.md

@@ -104,7 +104,24 @@ still.
 
 ## CFGMON-03 — Prometheus-Remote-Write und Loki sind öffentlich ohne Auth
 
-**Status:** offen
+**Status:** offen — **entscheidungsreif vorbereitet (2026-08-01 Nachtblock)**
+
+**Vorbereitung/Empfehlung:** Absender-Inventur ergab: Der k3s/Matrix-Host pusht
+längst übers private Netz (10.0.0.3, verifiziert) — öffentlich brauchen 9090/3100
+nur noch Absender **außerhalb** des vSwitch, praktisch also der GAME-Host
+(157.90.155.206, siehe GAME-01).
+
+- **Weg A (empfohlen, 5 Minuten):** Hetzner-Cloud-Firewall auf CFGMON — eingehend
+  9090/tcp + 3100/tcp nur von `157.90.155.206` (+ ggf. weitere bekannte Absender)
+  erlauben; privater vSwitch-Verkehr ist davon unberührt. Sofort wirksam, kein
+  Config-Umbau.
+- **Weg B (sauberer, später):** GAME-Host in den vSwitch aufnehmen (deckt sich mit
+  gitops#41 „privates Netz statt Internet" und der GAME-01-Firewall-Arbeit) —
+  danach beide `ports:`-Blöcke aus der Compose entfernen, nichts mehr öffentlich.
+- **Weg C (verworfen):** BasicAuth via Traefik — 9090/3100 sind direkte
+  Port-Mappings, kein Traefik-Routing; der Umbau (Router+Middleware+htpasswd auf
+  CFGMON, `basic_auth`-Block im GAME-Alloy) wäre deutlich mehr Bewegung als A/B
+  für denselben Effekt.
 
 Prometheus läuft mit `--web.enable-remote-write-receiver` und Port `9090` ist
 veröffentlicht, weil der k3s-Cluster und der Matrix-Server dorthin pushen. Loki ist
@@ -195,6 +212,12 @@ Voraussetzungen, beide beim User:
 auf CFGMON `cd /opt/thread-net-git && git checkout main && git pull` (Checkout parkt
 noch auf dem inhaltsgleichen, inzwischen gelöschten Fix-Branch).
 
+**Dazu neu (2026-08-01 ~05:00):** Auch `/opt/threadnet-operating` braucht einmal
+`git fetch && git reset --hard origin/main` — der State-Persistenz-Commit wurde
+dort direkt nach Gitea gepusht (dfe04c4a), vom Mirror überschrieben, vom Mac aus
+per Patch gerettet und kanonisch als `6ffab68` neu aufgelegt (inhaltsgleich,
+anderer Hash; Autorschaft erhalten).
+
 **Erledigt (2026-08-01, autonom):**
 - Actions-Toggles deaktiviert: `ThreadNet-Web`, `threadnet-call`, `axion1337.chat-gitops`
 - `ThreadNet-Web`: alle `.github/workflows/`-Dateien entfernt (Commit `574c1bf`)