TP31: nas.emsenhuber.net entfernt, Standortsuffix als Regel

`nas.emsenhuber.net` war nur als AGH-Rewrite auf 10.40.20.10 vorhanden,
zeigte aber nirgends hin: kein CF-CNAME, kein Caddyfile-Eintrag (der
hatte von Anfang an ds-bf.emsenhuber.net fuer Synology DSM).

Mit dem TP23-Stufe-2-Cutover wandert die DNS-Aufloesung in ein
AdGuard-Paar und der Rewrite-Satz wird neu aufgebaut. Die Regel
ist ab jetzt: Hosts, die es an mehreren Standorten gibt, heissen
immer `<host>.<site>.emsenhuber.net` — kein gemeinsamer Name
ohne Suffix.

Andere namensgleiche Hosts (macmini/mfc/tv/docker/platform-pg/
core/ap1/ap2/branch) bleiben vorerst ohne Suffix in AGH und werden
einzeln in der TP23-Stufe-2-Session bewertet.

adguard/AdGuardHome.yaml

@@ -205,9 +205,6 @@ filtering:
     - domain: pbs.emsenhuber.net
       answer: 10.40.20.40
       enabled: true
-    - domain: nas.emsenhuber.net
-      answer: 10.40.20.10
-      enabled: true
     - domain: macmini.emsenhuber.net
       answer: 10.40.20.167
       enabled: true

docs/teilprojekte.md

@@ -1567,6 +1567,18 @@ Cloudflare **keine** Host→Origin-Zuordnung mehr, und die SoT ist eindeutig:
 | Welcher Name ist öffentlich | **CNAME + Access-App** (4 Namen) | Cloudflare |
 | Name → IP **intern** | **AdGuard-Rewrites** (TP23 Stufe 2) | AGH-Paar |
 
+🔴 **Standortsuffix als Regel (User-Entscheid 2026-08-26).** Hosts, die es an mehreren Standorten gibt,
+heißen **nie ohne Suffix** (`nas.emsenhuber.net` ist die Falle) — Schema ist
+`<host>.<site>.emsenhuber.net` (`nas.bf.…`, `nas.fm.…`, `nas.dw.…`). Caddy bleibt **pro Standort
+eigenständig** (BF-Caddy kennt `ds-bf`, FM-Caddy kennt `ds-fm`); die AdGuard-Instanzen je Site halten
+die lokale `<host>.<site>`-Auflösung, und ein **gemeinsamer** Name ohne Suffix existiert nicht.
+**Konsequenz für `nas.emsenhuber.net`: gelöscht** — weder AGH-Rewrite, noch CF-CNAME (gab es nie),
+noch Caddyfile-Eintrag (das hatte von Anfang an `ds-bf`). Der Rewrite war eine AGH-Insel ohne
+Auflöser dahinter, der Cutover ändert für **niemanden** etwas an der heutigen Erreichbarkeit.
+**Andere namensgleiche Hosts** (`macmini`/`mfc`/`tv`) stehen heute noch ohne Suffix in AGH —
+Bewertung einzeln in der TP23-Stufe-2-Session; hier nur festgehalten, damit das Muster ab jetzt
+nicht mehr ohne Suffix entsteht.
+
 ⇒ Zu pflegen bleiben **vier** öffentliche Namen statt neunzehn Ingress-Regeln. Und die zwölf internen
 Namen brauchen dann **gar keinen öffentlichen DNS-Eintrag mehr** — heute ist z. B. `pve.emsenhuber.net`
 öffentlich auflösbar (hinter Access), danach ist es von außen schlicht unbekannt. **Das ist ein