Add fail-closed WireGuard container gateway

docs/OPERATIONS.md

@@ -103,7 +103,7 @@ erfolgreich. Medium ist das Start- und Standardprofil.
 Clients verbinden sich mit:
 
 ```text
-http://HOST:8081/v1
+http://<FRITZ-VPN-IP>:8081/v1
 ```
 
 Als API-Key verwenden sie den Inhalt von `/etc/mike-ai/router-api-key` über
@@ -120,7 +120,7 @@ Vision, Bildgenerierung, STT und TTS umgehen.
 - `GET /ready`: Router und Textmodell sind einsatzbereit
 - `GET /status`: authentifizierter Detailstatus, Profil, Upstream, aktive Jobs
 - `GET /v1/models`: virtuelle Modelle
-- llama.cpp-Metriken: Port 8080, nur im administrativen Netz freigeben
+- llama.cpp-Metriken: ausschließlich Docker-intern abfragen
 - systemd-Journal: nur Metadaten und Fehler prüfen; keine Promptinhalte sammeln
 
 ## Upgrade-Regel