feat(vpn): expose Athena services directly over WireGuard

README.md

@@ -55,17 +55,18 @@ Neustart an; danach wird derselbe Befehl erneut ausgeführt.
 | llama.cpp | nur Docker-intern | Inferenz und integrierte Vision |
 | Profile Controller | nur Docker-intern | eng begrenzter Profil-/FLUX-Hot-Swap |
 | FLUX Worker | nur Docker-intern, normalerweise gestoppt | Bildgenerierung auf RTX 5080 |
-| XTTS-v2 | nur Docker-intern, RTX 3060 | primäre mehrsprachige Sprachausgabe |
-| TTS Gateway | nur Docker-intern | Annmarie Nele, Queue und Piper-Fallback |
-| Piper | nur Docker-intern, CPU | ausfallsichere deutsche Ersatzstimme |
-| MCP-Tool-Stack | nur Docker-intern | Athena-Kontext, Athena Operator, Web, GitHub, Home Assistant, ARR, Unraid und Navidrome |
+| XTTS-v2 | `<WG-IP>:8092`, RTX 3060 | primäre mehrsprachige Sprachausgabe |
+| TTS Gateway | `<WG-IP>:8085` | Annmarie Nele, Queue und Piper-Fallback |
+| Piper | `<WG-IP>:8091`, CPU | ausfallsichere deutsche Ersatzstimme |
+| MCP-Tool-Stack | `<WG-IP>:8201-8208` | Athena-Kontext, Athena Operator, Web, GitHub, Home Assistant, ARR, Unraid und Navidrome |
 
 XTTS-v2, TTS-Gateway, Piper-Fallback und der FLUX.2-Klein-Hot-Swap sind
 reproduzierbare Kerndienste; STT
 bleibt optional. Web-, Home-Assistant-,
 GitHub-, ARR-, Unraid- und Navidrome-Werkzeuge besitzen dagegen bereits getrennte Container unter
-`platform/mcp/`. Open WebUI erreicht sie ausschließlich über das interne
-`mike-ai-tools`-Netz; llama.cpp erhält keine MCP-Konfiguration und keine
+`platform/mcp/`. Open WebUI erreicht sie über das interne `mike-ai-tools`-Netz;
+Pi, Hermes und andere Clients verwenden die direkten WireGuard-Ports aus
+`docs/VPN_SERVICE_PORTS.md`. llama.cpp erhält keine MCP-Konfiguration und keine
 Infrastruktur-Secrets. Die Bildanalyse ist Bestandteil des multimodalen
 Qwen-Modells.