Crew-Meilenstein 2026-10-13 — Der SchlĂŒsselmoment

Die erste Passkante, die jemand im VPN tatsĂ€chlich benutzen kann: interne CA, DNS, Vektor und Audit-Log. Festgehalten wird, was belegt ist. Was Branko berichtet, steht als solches da. Was nicht geprĂŒft ist, steht als UNKNOWN.

1. Der Moment in einem Satz

Wer als WG-Peer mit eigener /32 im VPN hĂ€ngt (Ziel nullfeld, in der Crumbforest-NetBox als eigener Mandant zur MAC gefĂŒhrt), kann interne CA, DNS, Vektor und Audit-Log erreichen, und sonst nichts.

Der Satz ist Zielbild und Behauptung von Branko. Belegt ist davon der Vektor-Teil (§2), nicht die CA und nicht der DNS-Host.

2. Kassensturz

Aussage Stand Herkunft
Vektor enthĂ€lt die NachtrĂ€ge vom 11.–13.10. (137 / 70 / 34 Dateien, gleich dem git-Stand der drei Repos) belegt vector-status.sh nach Neu-Index + git ls-files
DeepBit findet den N7-Befund (VM ≠ GerĂ€t) per Frage belegt (Retrieval), Inhalt ungeprĂŒft Chat-Log 13.10.
Gegenprobe virtualization/virtual-machines?tenant=
 liefert die VM UNKNOWN nicht gefahren
Coverage 97,5 % (499 von 512) belegt (rechnerisch) Messwert Branko
Kosten $1,384 (~138k Tokens) geschÀtzt, Basis unklar (Modelle im Log sind :free) Messwert Branko
Tenant ozm auf 20 GerÀten, Zeros ausgenommen belegt Commit db33109
WG → nullfeld; MAC je Mandant in der Crumbforest-NetBox ATTESTED_BY_BRANKO Branko
Solaranlage per ETH direkt abfragbar, ohne Cloud ATTESTED_BY_BRANKO Branko (Solakon-Modbus ist nur aus 10.60 erreichbar)
Museum gesichert und frei, kein VPN-im-VPN ATTESTED_BY_BRANKO, VPN-im-VPN ungetestet Branko
2 oder 3 LTE (Container, Parkplatz, Museum) Annahme, Messfrage Branko
Ort der Node-CA, Host des internen DNS UNKNOWN offen laut Nachtrag 13.10.
Neue Sternenkarte crumbforest.org/constellation nicht gelesen Link von Branko
Rust-Connector transformiert Qdrant in die 768er-Spur fĂŒr den Zero Ziel, nicht belegt Branko

3. „Wer verbunden ist, kann es sehen" — was „verbunden" heißt

IN_HOTSPOT ⇏ ACCESS_GRANT

Verbunden heißt WG-Peer mit AllowedIPs = <ziel>/32 und passender Firewall-Regel. Wer nur im Hotspot hĂ€ngt, ist in einem Netzsegment und hat damit nichts freigeschaltet. Der Hotspot gibt nichts frei, auch nicht, wenn er ausfĂ€llt.

Auch die DNS-Trennung folgt dieser Linie: RESOLVES(name) ⇏ REACHABLE(host).

4. Audit-Log: Scope (Entscheidung Branko, offen)

chat_history.jsonl enthĂ€lt pro Zeile Frage und Antwort im Klartext sowie user.id und role. „Lesbar fĂŒr jeden Verbundenen" wĂŒrde damit Chat-Inhalte offenlegen, gegebenenfalls aus einem Kinder-Kontext.

Vorschlag zur Entscheidung:

  • FĂŒr alle Verbundenen lesbar: Metadaten (Zeit, Charakter, Modell, Rolle, RAG-Treffer, Kosten). Das trĂ€gt die Aussage „es ist nachvollziehbar".
  • Rollenbegrenzt und zweckgebunden: Frage- und Antworttext.

Bis Branko entscheidet, gilt: Der Meilenstein behauptet nur die Lesbarkeit der Metadaten.

5. „What about trust without bare SOT"

Vertrauen entsteht hier nicht aus einem Eintrag, der als wahr gilt, weil er irgendwo steht. Es entsteht aus einer Menge geprĂŒfter Aussagen mit Herkunft, und das SOT ist ein Zeuge darin, nicht der Grund.

  • Aufbau aus der Null ist der Beweis: Playbook lĂ€uft, der zweite Lauf Ă€ndert nichts. „Fehlerfrei" wird nicht behauptet, nur wiederholbar.
  • UNKNOWN ist ein gĂŒltiger Eintrag und bleibt stehen, bis jemand es prĂŒft.
  • NetBox sagt 
 bleibt administrative Aussage (NETBOX_RECORD ⇏ OBSERVED_PHYSICAL_DEVICE). Die BestĂ€tigung des Zustands kommt aus der Sensorik und dem Token am Ort, nicht aus dem Spiegel.

6. Testaufbau (Hypothese, kein Beschluss)

  • Idle Raspi im VPN: DNS und eine Wegwerf-CA mit eigener Wurzel, ohne Eintrag in produktive Trust-Stores.
  • PrĂŒffĂ€lle P-DNS-1 bis 3 aus dem RZ-Nachtrag (OZMAI_INBOX_BRANKO, §6) auf dem Test-Pi fahren.
  • Container als Messplatz: Solar per ETH direkt, Sensorik, LTE-Uplink. 2 oder 3 LTE ist erst nach der Messung entschieden.
  • Rust-Connector 768: gegen eine Kopie der Collection, nicht gegen die 1536er-Spur.
  • Wandernde Dinge (Container, Kunstwerke, Zeros) bleiben per LTE-Resonanz erreichbar. Die BrĂŒcke ist die im Raum befindliche, nicht eine zusĂ€tzliche Schicht.

7. Offen

  • ❓ Audit-Log-Scope (§4).
  • ❓ Ort der Node-CA, Host des internen DNS.
  • ❓ Gegenprobe der VM gegen die RZ-NetBox, Token-Leserecht auf virtualization.
  • ❓ VPN-im-VPN am Museum: ĂŒberhaupt möglich?
  • ❓ 2 oder 3 LTE.
  • ❓ Sternenkarte neu: Stand lesen und einordnen.
  • ⬜ Rust-Connector: 768-Transformation mit Messung (Rust gegen Python).
  • ⬜ Collector inkrementell statt 3203 Embeddings je Lauf.