runner: Gitea-Actions-Runner builder-1 ergaenzen

gitea/act_runner:0.6.1, Labels linux-build (electronuserland/builder:22)
und win-wine (Wine-Cross-Builds fuer Windows). Kapazitaet 1 und
Job-Limits 2200m/1.5cpu wegen knapper Host-Ressourcen (2 Kerne, 3.7 GiB,
kein Swap). Gitea-Zugriff der Jobs via Host-Gateway-Hairpin, Actions-
Cache auf 172.17.0.1:8088. Registrierungs-Token kommt aus .env
(gitignored), Vorlage .env.example.

Co-Authored-By: Claude Fable 5 <noreply@anthropic.com>

docker-compose.yml

@@ -1,4 +1,4 @@
-# Stack "thread-net-git" (CFGMON): Traefik + Gitea + cAdvisor.
+# Stack "thread-net-git" (CFGMON): Traefik + Gitea + cAdvisor + Actions-Runner.
 # Abgeloest aus Portainer (Stack-ID 8) am 2026-07-30.
 #
 # WICHTIG: Der Compose-Projektname MUSS "thread-net-git" bleiben (siehe
@@ -78,6 +78,39 @@ services:
     networks:
       - traefik
 
+  runner:
+    # Offizielles Image heisst gitea/act_runner (nicht gitea/runner).
+    image: gitea/act_runner:0.6.1
+    container_name: gitea-runner
+    restart: always
+    depends_on:
+      - gitea
+    environment:
+      GITEA_INSTANCE_URL: https://rohana.axion1337.de
+      # Nur fuer die Erstregistrierung noetig (aus .env); danach liegt die
+      # Runner-Identitaet in ./runner-data/.runner und .env kann geleert werden.
+      GITEA_RUNNER_REGISTRATION_TOKEN: ${RUNNER_TOKEN:-}
+      GITEA_RUNNER_NAME: builder-1
+      GITEA_RUNNER_LABELS: >-
+        linux-build:docker://electronuserland/builder:22,
+        win-wine:docker://electronuserland/builder:wine
+      CONFIG_FILE: /config.yaml
+      TZ: Europe/Berlin
+    extra_hosts:
+      # Hairpin ueber das Docker-Host-Gateway: umgeht die Cloud-Firewall,
+      # das Traefik-Zertifikat bleibt dabei gueltig.
+      - "rohana.axion1337.de:host-gateway"
+    ports:
+      # Actions-Cache: nur auf dem Docker-Gateway gebunden, damit ihn
+      # Job-Container erreichen, aber nichts von aussen.
+      - "172.17.0.1:8088:8088"
+    volumes:
+      - ./runner/config.yaml:/config.yaml:ro
+      - ./runner-data:/data
+      - /var/run/docker.sock:/var/run/docker.sock
+    networks:
+      - default
+
 networks:
   traefik:
     external: true