monitoring: Game-Host privat scrapen statt ueber die oeffentliche IP (#0002)

Die Targets standen seit dem ersten Scrape auf der oeffentlichen IP und waren
nie up. Ursache jetzt belegt: Die Exporter-Container auf dem Game-Host
veroeffentlichen ihre Ports gar nicht - docker ps zeigt "9100/tcp" ohne
0.0.0.0-Mapping, sie sind nur im Docker-Netz erreichbar. Weder Firewall noch
Bind-Adresse, wie bisher vermutet.

Targets auf 10.0.0.4 umgestellt (Host liegt im vSwitch, 22/80/443 antworten
dort). cadvisor bewusst auf Host-Port 8081: 8080 ist von coolify-proxy belegt.

Neu angebunden: pterodactyl_exporter auf 9531 - laeuft dort seit drei Monaten
und war nie im Monitoring.

README nachgezogen; sie nannte weiterhin die oeffentliche IP und beschrieb die
Targets als "antworten aktuell nicht", ohne den Grund.

⚠️ Wirksam erst, wenn die Ports auf dem Game-Host auf 10.0.0.4 veroeffentlicht
sind. Bis dahin bleiben die Targets down - unveraendert zum Zustand davor, nur
mit richtiger Adresse und dokumentierter Ursache.

monitoring/README.md

@@ -71,8 +71,9 @@ Dashboard-JSONs innerhalb eines bestehenden Providers werden laufend nachgezogen
 - **Remote-Write eingehend** auf `:9090`: k3s-Cluster und Matrix-Server pushen
   Metriken (`flux`, `kube_state_metrics`, `synapse`).
 - **Log-Push eingehend** auf `:3100` (Loki) von externen Alloys.
-- **Scrape ausgehend**: k3s-Host (`10.0.0.2:9100`), Pterodactyl-Host
-  (`157.90.155.206:9100` + `:8080`).
+- **Scrape ausgehend**: k3s-Host (`10.0.0.2:9100`), Game-Host privat ueber den
+  vSwitch (`10.0.0.4:9100`, `:8081` cadvisor, `:9531` pterodactyl_exporter).
+  cadvisor liegt dort auf 8081, weil Host-Port 8080 von coolify-proxy belegt ist.
 - `cadvisor` und `traefik` werden gescraped, laufen aber in **anderen** Stacks
   (cadvisor: Portainer-Stack `thread-net-git`; beide haengen im externen
   `traefik`-Netz).
@@ -140,8 +141,13 @@ selbst nicht melden koennen.
 - `9090`, `3100`, `9100` sind auf der oeffentlichen IP ohne Auth erreichbar
   (Docker umgeht ufw). Per **Hetzner Cloud Firewall** auf die IPs der
   bekannten Absender einschraenken.
-- Pterodactyl-Host `157.90.155.206`: node-exporter und cadvisor antworten
-  aktuell nicht (Targets down).
+- Game-Host: Die Targets zeigen seit 2026-08-20 auf die private Adresse
+  `10.0.0.4` (management #0002). **Voraussetzung auf dem Host**: Die
+  Exporter-Container veroeffentlichen ihre Ports bisher gar nicht -- `docker ps`
+  zeigt `9100/tcp` ohne `0.0.0.0`-Mapping, sie sind nur im Docker-Netz erreichbar.
+  Solange das so ist, bleiben die Targets down; die Adresse ist dann nur eine
+  andere. Veroeffentlichen auf `10.0.0.4`, **nicht** auf `0.0.0.0` -- sonst stehen
+  sie wieder im Internet.
 - Loki `table_manager` ist deprecated; Retention-Enforcement laeuft aktuell
   nicht ueber den Compactor -- bei Gelegenheit auf Compactor-Retention
   umstellen.

monitoring/prometheus/prometheus.yml

@@ -46,15 +46,36 @@ scrape_configs:
         labels:
           instance: "k3s-host"
 
+  # Game-Host: privat ueber den vSwitch statt ueber die oeffentliche IP (management
+  # #0002). Bis 2026-08-20 standen hier 157.90.155.206:9100 und :8080 - beide Ports
+  # waren von aussen gefiltert, die Targets seit dem ersten Scrape dauerhaft down.
+  #
+  # ⚠️ Voraussetzung auf dem Game-Host: Die Exporter-Container veroeffentlichen ihre
+  # Ports gar nicht (docker ps zeigt "9100/tcp" ohne 0.0.0.0-Mapping) - sie sind nur
+  # im Docker-Netz erreichbar. Sie muessen auf 10.0.0.4 veroeffentlicht werden, nicht
+  # auf 0.0.0.0: Letzteres oeffnete sie wieder oeffentlich, was dieses Issue vermeidet.
+  #
+  # cadvisor liegt bewusst auf Host-Port 8081, nicht 8080: Dort haengt bereits
+  # coolify-proxy (traefik) auf 0.0.0.0:8080, ein Bind auf 10.0.0.4:8080 kollidierte.
   - job_name: "pterodactyl_host_node"
     static_configs:
-      - targets: ["157.90.155.206:9100"]
+      - targets: ["10.0.0.4:9100"]
         labels:
           instance: "pterodactyl"
 
   - job_name: "gameserver_cadvisor"
     static_configs:
-      - targets: ["157.90.155.206:8080"]
+      - targets: ["10.0.0.4:8081"]
+        labels:
+          instance: "pterodactyl"
+
+  # Pterodactyl-eigene Metriken (Server, Spieler, Auslastung je Instanz). Laeuft auf
+  # dem Game-Host schon seit drei Monaten, war aber nie angebunden.
+  - job_name: "pterodactyl_exporter"
+    static_configs:
+      - targets: ["10.0.0.4:9531"]
+        labels:
+          instance: "pterodactyl"
 
   # CVE-Exporter (gitops#47)
   - job_name: "cve_exporter"