TP39 angelegt: LXC-Hygiene auf pve (User-Okay 2026-09-01)

Fasst die zwei Restpunkte aus dem Wartungsfenster der Nacht zusammen, statt sie
auf zwei TPs zu verteilen -- beides betrifft dieselben pve-LXCs und wird in einem
Fenster erledigt:

1. skip-name-resolve auf der MariaDB. Der Reverse-Lookup ist heute nur schnell
   (21-24 ms statt 10.010 ms), nicht abgeschafft. Vorher mysql.user lesen:
   Hostname-basierte Grants brechen sonst und sperren vw/HA/gitea aus.
   Blocker: DB-Credentials noch nicht lokalisiert (Bezug TP30).
2. networking.service + ifupdown-wait-online.service sind in 101/102/106/107
   dauerhaft failed, bei vorhandenem Netz. Folge: alles mit
   After=network-online.target startet nach einem Reboot nicht -- belegt an
   influxdb2, das nach dem Neustart nicht hochkam (Unit enabled, kein
   Startversuch im Journal). 101 wurde nie angefasst und zeigt dasselbe, es ist
   also vorbestehend.

Dazu der Resolver-Sweep als wiederkehrende Kontrolle statt Einmalaktion: derselbe
Fehlertyp wurde 2026-07-10 (TP14.2a) an NAS und LXC 400 behoben, aber nie im
Bestand gesucht -- deshalb lag er hier noch. Die NAS-Container gehoeren mit
geprueft (DSM-Fallstrick: Interface-DNS != was dockerd liest).

Quick-Index, TP-Abschnitt und Ist-Stand-Block mitgezogen; Handoff verlinkt.

Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>

docs/handoff-20260901-tp16.3-paragraph5-flip-durch.md

@@ -87,8 +87,10 @@ alte §5.3-Punkt „Caddy sieht den Request" konnte nie funktionieren.
 1. **§6 Abbau** — sechs Container + drei Alttunnel. Frühestens nach störungsfreiem Betrieb;
    Christoph hat den **Flip** vorgezogen freigegeben, **nicht** den Abbau.
    🚫 `terpene-cloudflared` (LXC 400) und `fm.emsenhuber.net` bleiben. **Namen lesen, nicht Zeilen zählen.**
-2. **`skip-name-resolve`** auf der MariaDB — vorher `mysql.user` gegen Hostname-Grants prüfen.
-3. **`networking.service`** in `101`/`102`/`106`/`107` reparieren (Punkt 3).
+2. **TP39** (angelegt 2026-09-01, User-Okay) fasst die zwei Restpunkte aus §2 und §3 zusammen:
+   `skip-name-resolve` auf der MariaDB (vorher `mysql.user` gegen Hostname-Grants prüfen, DB-Zugang
+   fehlt) und das kaputte `networking.service` in `101`/`102`/`106`/`107`. Dazu der Resolver-Sweep
+   als **wiederkehrende** Kontrolle, auch über die NAS-Container.
 4. **TP30:** die zwei Nautobot-Tokens rotieren (vom User vertagt, weiterhin offen).
 5. **TP14.4:** ohne Service-Token für die Wildcard-App ist `n8n` von außen nicht bis zum Origin prüfbar.
 6. **Caddy-Access-Log** (TP31/TP34): der öffentliche Reverse Proxy protokolliert keine Requests.