docs 📄 TP14 in Sub-TPs gegliedert (TP14.1–14.5 = Sessions A–E)

- teilprojekte.md: TP14 Parent (✅ NAS + CF-Ingress) + Sub-TPs TP14.1 (NAS-Rest),
  14.2 (pve-LXC/ipvlan), 14.3 (dormante Stacks + DNS-Sweep), 14.4 (CF-Access-Profil),
  14.5 (Freigabe-Gate → TP5). Analog zu TP3.1/3.2-Muster.
- Handoff-README-Headings auf TP14.x-Nummern gezogen (Konsistenz).

Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>

docs/teilprojekte.md

@@ -283,11 +283,28 @@ FT kaschierte das bisher als „Roaming" statt „schwache Abdeckung".
 ### TP14 — Host/Container-IP-Migration VLAN1→VLAN20 (Docker-Cutover NAS+pve) ▸ ⏳ WIP — `docs/nas-vlan20/RUNBOOK.md`, Handoff `docs/nas-vlan20/handoff/`
 - ✅ **NAS (DS923, ep14) migriert (2026-07-09/10):** Docker von `default_external` (macvlan .41) auf **ein** `vlan20`-Macvlan (10.40.20.0/24, gw .1, parent `ovs_eth0`); DSM-Cutover `.20.10`; Portainer-Endpoint `.20.10:9001`. **Root-Cause der Dauerfehler** = Portainer **Config-Only-Macvlan-Falle** (`Driver:null`, kein Container-Attach) + Macvlan-Parent-Exklusivität (`default_external` muss weg für `vlan20`) + `default_internal` (172.18) weg. Container laufen auf `.20.x`.
 - ✅ **CF-Ingress v116 (2026-07-10):** 6 NAS-Origins .41→.20 (SSoT `docs/cf-tunnel-mapping.md` §8); `vw` 200 via Tunnel = pve→VLAN20-Routing steht (502 direkt nach Ingress-PUT = transient).
-- 🔜 **Session A — NAS-Rest:** Restcontainer starten (oc-stack/112, default/72, nginx/101, oc-central/160, oc-charlie/158, oc-johnny2/150); gitea(111)+drawio(107) deployen; **pve-mcp NEU als Stack** (`.20.173`, Spec `docs/nas-vlan20/inspect_pve-mcp.json`); omada-controller Inform-Adr → `10.40.20.175` (sonst sw2 „Disconnected").
-- 🔜 **Session B — pve-Docker-LXC (.126, ipvlan!):** `default_external`(ipvlan eth0)→`vlan20`(ipvlan); adguard .16/.17, omada-mcp .176 → `.20.x`; LXC-IP `.126→.20.126` (⚠️ Portainer-URL wandert). CF-Connector landet in VLAN20 = **löst TP11-Track-B/C** (#1033-Zielbild).
-- 🔜 **Session C — Dormante Stacks vlan20-tauglich + Referenz-Sweep:** transform core/openclaw/openclaw2/oc20260307/openspeedtest/speedtest_tracker/technikscheiss; ap1 bf.lan-DNS + CLAUDE.md + `~/.claude.json` + `docs/ip-plan.md` .41→.20.
-- 🔜 **Session D — CF-Access-Profil (nicht cutoff-kritisch):** CF-Token hat jetzt `Access: Service Tokens: Write` → `claude-mcp` rotieren → Secret in `mcp/cloudflare/.env`. Memory `ref-cf-access-claude-profile`.
-- ⚠️ **Abh./Reihenfolge:** verzahnt mit Omada-PVID-Fix/IP-Migration (Reihenfolge #3); **TP5 ZULETZT** (erst wenn alle Origins/Connectoren in VLAN20).
+- ⚠️ **Abh./Reihenfolge:** verzahnt mit Omada-PVID-Fix/IP-Migration (Reihenfolge #3); Sessions = Sub-TPs **TP14.1–14.5**, sequenziell A→B→C→(D jederzeit)→E, **keine parallelen Branches** (geteilte Live-Infra). Anschlussstatements: `docs/nas-vlan20/handoff/README.md`.
+
+### TP14.1 — Session A: NAS fertigstellen ▸ 🔜 TODO (nächste Session)
+- Restcontainer starten/redeployen aus `docs/nas-vlan20/stacks/`: oc-stack(112 → prometheus/alertmanager/node-exporter), default(72 → hms-mqtt), nginx(101 → dashboard-web), oc-central(160), oc-charlie(158), oc-johnny2(150).
+- gitea(111) → `.20.157` (⚠️ `GITEA__database__HOST` `.20.23` verifizieren); drawio(107) via `transform.py` → `.20.139`.
+- **pve-mcp NEU als Stack** (vlan20-only, `.20.173`, Spec `docs/nas-vlan20/inspect_pve-mcp.json`) + `~/.claude.json` `.41.173→.20.173`.
+- **omada-controller Inform-Adresse → `10.40.20.175`** (UI `https://10.40.20.175:8043`), sonst sw2 „Disconnected".
+
+### TP14.2 — Session B: pve-Docker-LXC (.126) → VLAN20 ▸ 🔜 TODO  (⚠️ ipvlan, nicht macvlan!)
+- ep2-Stacks (`adguard`, `omada-mcp`) transformieren `.41→.20` (adguard .16/.17, omada-mcp .176; `OMADA_URL`→`.20.175`).
+- LXC in Proxmox auf VLAN20 taggen + IP `.126→.20.126` (⚠️ **Portainer-URL wandert** — Zugang vorher sichern; `mcp/portainer/.env`+`PORTAINER_URL` nachziehen).
+- `default_external`(ipvlan eth0) weg → `vlan20`(ipvlan, `-o parent=eth0`) neu. Ergebnis: CF-Connector in VLAN20 = **löst TP11-Track-B/C** (#1033-Zielbild).
+
+### TP14.3 — Session C: Dormante Stacks vlan20-tauglich + Referenz-Sweep ▸ 🔜 TODO
+- `transform.py` auf core(43)/openclaw(92)/openclaw2(97)/oc20260307(119)/openspeedtest(74)/speedtest_tracker(80)/technikscheiss(42) → `.new` (42/43 waren `default_internal` → vlan20-only).
+- Referenz-Sweep `.41→.20`: ap1 bf.lan-DNS (MikroMCP, ap1 via `10.40.10.1`), CLAUDE.md, `~/.claude.json`, `docs/ip-plan.md`, CF-Ingress-Rest.
+
+### TP14.4 — Session D: CF-Access-Profil für Claude ▸ 🔜 TODO  (nicht cutoff-kritisch)
+- CF-Token „claude code mcp" hat jetzt `Access: Service Tokens: Write`+`Read` → `claude-mcp` rotieren (`POST …/access/service_tokens/{id}/rotate`) → `CF_ACCESS_CLIENT_ID`/`_SECRET` in `mcp/cloudflare/.env` (chmod600). Memory `ref-cf-access-claude-profile`.
+
+### TP14.5 — Session E: Freigabe-Gate → TP5-Firewall ▸ 🔜 (ZULETZT)
+- Erst wenn TP14.1–14.3 durch (alle Origins/Connectoren in VLAN20) → dann TP5 (Deny-by-default) starten. Reines Reihenfolge-Gate, kein eigener Change.
 
 ### TP-R — Router-Capabilities-Sweep ▸ FERTIG (`docs/research/routeros-capabilities.md`)
 - **Leitsatz: nativ vor Container, NAS vor Router** (128MB-Flash-Limit).