Replace WireGuard prototype with native host service and scoped access

FEATURE_COMPARISON.md

@@ -1,6 +1,6 @@
 # Alter Athena Router und Athena Deck
 
-Stand 30.09.2026. Vergleich der aktuellen Quellen und dokumentierten Prüfungen;
+Stand 01.10.2026. Vergleich der aktuellen Quellen und dokumentierten Prüfungen;
 keine neue vollständige Live-Abnahme sämtlicher Funktionen. Installierte alte
 Container bedeuten keine Anbindung an Deck. Kategorien und Docker-Listen allein
 sind kein ausführbarer Worker.
@@ -16,8 +16,8 @@ sind kein ausführbarer Worker.
 | Dashboard, History, Themes | vorhanden | kein neuer vollständiger Migrationsaudit |
 | Modellkatalog, Komponenten, Downloads, automatische Speicheranpassung | vorhanden | Kompatibilitätsrezepte nicht universell |
 | ACE-Step Musikstudio | fehlt als Deck-Worker | Laufzeit, Profile/API, GPU-Modus und Oberfläche |
-| YuE2 Musikgenerierung | fehlt als Deck-Worker | Laufzeit, Profile/API, GPU-Modus und Oberfläche |
-| BS-RoFormer Stem-Separation | fehlt | Laufzeit und Job-/Dateiverarbeitung |
+| YuE2 Musikgenerierung | vorhanden: audio.cpp, Musikmodus, Ladypoly | weitere Modelle/Funktionen separat anbinden |
+| BS-RoFormer, MelBand und Demucs Trennung | vorhanden: native Laufzeit, Profile, Web-GUI | weitere Familien separat prüfen |
 | OmniVoice Voice Studio | fehlt | eigene Worker-/UI-Anbindung |
 | X-VC Voice Changer | fehlt | eigene Worker-/UI-Anbindung |
 | Applio/RVC Konvertierung und Training | fehlt | eigene Worker-/UI-Anbindung |
@@ -26,9 +26,9 @@ sind kein ausführbarer Worker.
 | Realtime Voice / WebRTC / OpenClaw Talk | fehlt in Deck | Brücke, Echtzeitaudio und Clientintegration |
 | Responses API | fehlt in Deck | /v1/responses-Kompatibilität |
 | PCM-Streaming für TTS | fehlt in Deck | Streaming-Audiopfad |
-| Spezialmodi für Musik/Voice/3D | fehlt | mehr als die vorhandenen LLM-/Video-Modi |
+| Spezialmodi | LLM, Video, Musik, Audio-Trennung vorhanden | Voice/3D fehlen |
 | Markierte zusätzliche Docker-Anwendungen | vorhanden | allein noch keine GPU-Worker-Orchestrierung |
-| WireGuard-Einstellungen | implementiert, im Athena-Test deaktiviert | Ersatz des vorhandenen Gateway nicht migriert/abgenommen |
+| WireGuard-Einstellungen | nativer Host-/systemd-Dienst installiert, GUI/API/Web-Tools angebunden | echte Peer-Konfiguration und alter Gateway noch nicht migriert; Dual-Stack mit synthetischem Peer geprüft |
 | Backup/Restore | implementiert | kompletter Neuaufbau auf leerem Debian nicht durchgetestet; Anwendungsdaten zusätzlicher Studios brauchen Rezepte |
 | Nativer Debian-/systemd-Installer | unvollständig | frischer Host, Voraussetzungen und vollständige Abnahme |
 
@@ -36,5 +36,23 @@ Empfohlene Reihenfolge: Embeddings und API-Lücken; gemeinsame Steuerung weitere
 GPU-Spezialworker; Musik/Voice/3D je nach Bedarf; native Installation und vollständiger
 Restore-Test. LTX-spezifische optionalen Funktionen separat gegen DeskWEB prüfen.
 
-Die zuvor angefragte Löschung der unbenutzten alten Video-Laufzeit und ihrer
-22 Backup-Kopien ist noch nicht ausgeführt: die konkrete Bestätigung steht aus.
+## Stilllegung und native Netzwerk-Anbindung am 01.10.2026
+
+Alle 33 alten `mike-ai-*`-Container außer `mike-ai-wireguard-gateway` sind
+stillgelegt und auf `restart=no` gesetzt. Images, Definitionen und Daten bleiben
+für den Vergleich erhalten. Vorherige Zustände und Neustartregeln sind geschützt
+unter `/opt/athena-deck-dev/runtime/legacy-services-before-native-wireguard.json`
+gesichert. Alte laufende Dienste sind damit keine aktive Rückfallversorgung mehr.
+
+`athena-deck-network.service` läuft nativ auf dem Debian-Host. Es verwaltet die
+Schnittstelle `wgdeck0`; aktuell ist noch keine echte Peer-Konfiguration importiert
+und der neue Tunnel ist deaktiviert. Im lokalen Modus werden die Deck-GUI 8108,
+API-Ports 8120–8124 und die explizit registrierten Web-Tools 8118/8127/8128 über
+Athenas KIT-LAN-Adresse bereitgestellt. SSH-Verwaltung bleibt unabhängig.
+
+Nachweis: 86 lokale Netzwerk-/API-/Profiltests, 32 isolierte Backup-/Modelltests
+(mit Überschneidungen) und realer Dual-Stack-WireGuard-Handshake in zwei Wegwerf-
+Netzwerk-Namensräumen. Kein produktiver Peer wurde zum Test verwendet.
+GUI über SSH und KIT-LAN: HTTP 200; API ohne Token: HTTP 401; drei Web-Tools: HTTP 200.
+Die vollständige Migration des alten Gateways steht noch aus; dieser bleibt aktiv.
+Ein kompletter Restore auf leerem Debian ist weiterhin nicht abgenommen.