Add WireGuard-only SSH recovery path

2026-08-23 08:55:06 +02:00
parent 0887e4ba90
commit 16a6288a4d
3 changed files with 23 additions and 1 deletions
@@ -55,6 +55,9 @@ Minute sowie ein aktueller WireGuard-Handshake.
 - SSH bleibt auf der Standort-Schnittstelle erreichbar, akzeptiert aber nur
  Public-Key-Anmeldungen. Vor dem Transport muss der Schlüsselzugriff getestet
  werden.
+- Zusätzlich stellt das WireGuard-Gateway unter seiner VPN-Adresse Port 22 als
+  key-only SSH-Notweg zum Host bereit. Der Listener ist explizit an `wg0`
+  gebunden und wird nicht auf dem Standort-Interface veröffentlicht.
 - Der WireGuard-Tunnel muss **vor dem Transport** erfolgreich aufgebaut und von
  zuhause erreichbar getestet sein.
 - Für WireGuard braucht Athena keine eingehende Portfreigabe am Standort: Der
@@ -74,6 +77,7 @@ Minute sowie ein aktueller WireGuard-Handshake.
 4. `mike-ai-wireguard-gateway` stoppen: Container-Egress muss scheitern;
   Gateway wieder starten und aktuellen Handshake prüfen.
 5. Von zuhause aus ausschließlich über die spätere VPN-Adresse zugreifen.
+   Dabei sowohl Open WebUI als auch `ssh root@<WIREGUARD-IP>` prüfen.

 Ohne erfolgreich getesteten WireGuard-Tunnel und die UEFI-Stromoptionen gilt der
 Host nicht als bereit für einen unbeaufsichtigten Standort.