docs 📄 TP14 in Sub-TPs gegliedert (TP14.1–14.5 = Sessions A–E)

- teilprojekte.md: TP14 Parent (✅ NAS + CF-Ingress) + Sub-TPs TP14.1 (NAS-Rest),
  14.2 (pve-LXC/ipvlan), 14.3 (dormante Stacks + DNS-Sweep), 14.4 (CF-Access-Profil),
  14.5 (Freigabe-Gate → TP5). Analog zu TP3.1/3.2-Muster.
- Handoff-README-Headings auf TP14.x-Nummern gezogen (Konsistenz).

Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>

docs/nas-vlan20/handoff/README.md

@@ -11,7 +11,7 @@ Transform-Regeln + Scratch-Skripte: Runbook §„Transform-Regeln". Stack-Files
 
 ---
 
-## Session A — NAS fertigstellen
+## TP14.1 — Session A: NAS fertigstellen
 Kontext: NAS(ep14) ist auf `vlan20`-Macvlan migriert (DSM `.20.10`). Container teils exited.
 Aufgabe:
 1. Restcontainer starten/redeployen aus `docs/nas-vlan20/stacks/`: **oc-stack(112)** (prometheus/
@@ -27,7 +27,7 @@ Aufgabe:
 Verifikation: `pt.py containers` alle `running`/`.20.x`; von `.41`-Host (gw ap1) `curl`/`ping` auf `.20`-IP;
 Tunnel `curl -m8 -w %{http_code} https://<host>.emsenhuber.net/` → 200/302.
 
-## Session B — pve-Docker-LXC (.126) → VLAN20  (⚠️ ipvlan, nicht macvlan!)
+## TP14.2 — Session B: pve-Docker-LXC (.126) → VLAN20  (⚠️ ipvlan, nicht macvlan!)
 Kontext: pve-LXC(ep2) hängt auf `.41`, Netz `default_external` = **ipvlan** parent `eth0`:
 omada-mcp `.176`, adguard_bf1 `.16`, adguard_fm2 `.17`. **Portainer-Server + aktiver CF-Connector laufen
 hier.** ⚠️ Reihenfolge kritisch.
@@ -41,7 +41,7 @@ Aufgabe:
 Ergebnis: CF-Connector in VLAN20 = **#1033-Zielbild** (TP11-Track-B/C erledigt). Verifikation: Portainer
 unter neuer URL, ep2-Container `.20.x`, Tunnel healthy, pve-lokale Origins (pve-Host `.41.100`) noch erreichbar.
 
-## Session C — Dormante Stacks vlan20-tauglich + Referenz-Sweep
+## TP14.3 — Session C: Dormante Stacks vlan20-tauglich + Referenz-Sweep
 Aufgabe:
 1. `transform.py` auf dormante ep14-Stacks: core(43), openclaw(92), openclaw2(97), oc20260307(119),
    openspeedtest(74), speedtest_tracker(80), technikscheiss(42) → `.new`-Files (nicht zwingend deployen;
@@ -50,13 +50,13 @@ Aufgabe:
    ap1-Mgmt via `10.40.10.1` — s. Memory `ref_ap1_mgmt_access_vlan10`), **CLAUDE.md**, **`~/.claude.json`**
    (omada-mcp `.20.176`, pve-mcp `.20.173`), **`docs/ip-plan.md`**, **CF-Ingress-Rest**. SSoT `docs/cf-tunnel-mapping.md`.
 
-## Session D — CF-Access-Profil für Claude  (nicht cutoff-kritisch)
+## TP14.4 — Session D: CF-Access-Profil für Claude  (nicht cutoff-kritisch)
 Kontext: `*.emsenhuber.net`-Access-App hat Policy `claude-mcp` (service_token) bereits; Secret fehlt lokal.
 CF-Token „claude code mcp" hat jetzt **`Access: Service Tokens: Write`+`Read`** (User bestätigt 2026-07-10).
 Aufgabe: `claude-mcp` rotieren (`POST /accounts/{acct}/access/service_tokens/{id}/rotate`) → `CF_ACCESS_CLIENT_ID`/
 `CF_ACCESS_CLIENT_SECRET` in `mcp/cloudflare/.env` (chmod600) → dokumentieren. Details: Memory `ref-cf-access-claude-profile`.
 
-## Session E — TP5-Firewall  (ZULETZT)
+## TP14.5 — Session E: Freigabe-Gate → TP5-Firewall  (ZULETZT)
 Erst wenn ALLE Origins/Connectoren in VLAN20 (nach A+B+C). Least-Privilege je VLAN; Deny-by-default fertigziehen.
 
 ---