feat(vpn): expose Athena services directly over WireGuard

docs/QWEN_OPERATOR_CONTEXT.md

@@ -129,7 +129,8 @@ Docker-Netze verwenden ausschließlich `172.30.0.0/16`. Wichtige Netze:
 
 Open WebUI und Router haben keine normalen Host-Portfreigaben. Der
 WireGuard-Gateway-Container beendet den Fritzbox-Clienttunnel und veröffentlicht
-innerhalb des VPN nur Open WebUI auf Port 8080 und die Router-API auf Port 8081.
+innerhalb des VPN OpenWebUI, Router, TTS und die festen MCP-Ports aus
+`VPN_SERVICE_PORTS.md`.
 Die KI- und Werkzeugcontainer erreichen Heimnetz und Internet über diesen
 Gateway. Quellrouting sorgt dafür, dass sie bei Tunnelausfall nicht über das
 Universitätsgateway ausweichen. Das gewünschte Verhalten ist fail-closed.
@@ -227,8 +228,9 @@ Fallback, internem Endpunkt, reproduzierbarer Version und Hörtest aus.
 ## 9. MCP-Werkzeuge
 
 MCP-Werkzeuge gehören nicht in llama.cpp-Startparameter. Jeder Fachbereich
-läuft in einem getrennten Container mit eigener Secret-Datei und minimalem
-Netzzugriff. Kein MCP-Port wird am Host veröffentlicht.
+läuft in einem getrennten Container mit eigener Secret-Datei. Auf der
+Universitätsadresse wird kein MCP-Port veröffentlicht; über die
+WireGuard-Adresse sind alle Fach-MCPs direkt erreichbar.
 
 | Bereich | Aufgabe | Rechte |
 |---|---|---|