Add remote-host rule: never power off or reboot Athena

docs/REMOTE_HOST_RULES.md

@@ -0,0 +1,44 @@
+# Regeln für den Remote-Host (Athena)
+
+## Wichtigste Regel
+
+**Der Host steht physisch in einer anderen Stadt. Es gibt keinen schnellen
+Zugang.**
+
+Daraus folgt zwingend:
+
+- Der Host wird **niemals** heruntergefahren (`shutdown`, `poweroff`,
+  `halt`).
+- Der Host wird **niemals** neu gestartet (`reboot`, `systemctl reboot`,
+  `init 6`).
+- Keine Aktion, die die **Erreichbarkeit** des Hosts gefährdet:
+  - keine Änderungen an `lan0`, DHCP, Firewall-Default-Policies,
+    `DOCKER-USER`-Regeln oder Routing ohne explizite Freigabe und
+    Rückfallplan;
+  - keine Reboot-Pflicht auslösenden Aktionen (z. B. Kernel- oder
+    NVIDIA-Treiberinstallation, `apt full-upgrade` mit Kernel) ohne
+    ausdrückliche Freigabe des Betreibers;
+  - keine Abschaltung von WireGuard, SSH oder dem Gateway-Container.
+- Jede Änderung, die einen Neustart von Host-Diensten erfordern könnte,
+  wird vorher geprüft und nur mit expliziter Freigabe ausgeführt.
+- Ein Installer-Exit-Code 20 (NVIDIA-Treiber, Reboot erforderlich) wird
+  **nicht** automatisch nachgeholt — der Betreiber entscheidet.
+
+## Betrieb ohne Reboot
+
+- Profilwechsel laufen über den Profile Router (`POST /fast`, `/medium`,
+  `/large`, `/ultra`, `/uncensored`) oder `llama-profile <name>` —
+  Containerwechsel, kein Host-Neustart.
+- Container-Updates: `docker compose pull && docker compose up -d`
+  betrifft nur den jeweiligen Container.
+- Logs und Status: read-only Abfragen (siehe `OPERATIONS.md`).
+
+## Verifikation nach Änderungen
+
+Nach jeder Änderung an Netz, Firewall oder WireGuard:
+
+1. SSH-Verbindung bleibt bestehen (Test: `ssh`-Roundtrip).
+2. WireGuard-Tunnel ist up (`wg show`, Ping auf die Heimnetz-Peer-IP).
+3. Router antwortet: `GET /health` und `GET /ready` liefern 200.
+
+Erst wenn alle drei Punkte grün sind, gilt die Änderung als abgeschlossen.