name: klassenzimmer-werkzeug-ein-port-offizielle-kruemel
description: "#zeitlos Bauplan (Branko 2026-08-16): Rust-App = Terminal-RAG, crumbmissions daneben; Klassenzimmer-Modell (1 Raum, viele Kinder, danach zurĂŒck auf null); Ein-Port-Isolation zum Hub → keine KrĂŒmel-ID gespeichert außer freiwillig; NetBox = nur offizielle KrĂŒmel; Werkzeug zum Unterrichten, kein Blackbox-Feuerzeug"
metadata:
node_type: memory
type: project
modified: 2026-08-17T17:30:51.467Z
originSessionId: 1cb3f789-f999-4854-bf47-792cc6b3ef3b

Der Bauplan (Branko, 2026-08-16) — wie aus dem Wald ein Unterrichts-Werkzeug wird:

Rollen auf dem Zero. Die Rust-App reicht völlig, um das Terminal-RAG zu sein (der Zero bleibt Terminal). crumbmissions lĂ€uft daneben — der Lern-/Spiel-Layer. Nicht Ersatz, sondern zwei Wege am selben Ort (vgl. [[crumbmissions-brotspur-entscheidung]]).

Zwei Nutzungsformen.
- Persönlich: 1 Kind = 1 SchlĂŒssel = 1 Raspi (das eigene Werkzeug).
- Klassenzimmer: 1 Raspi hat „einen Raum und viele Kinder inkl. Lehrer" in einer Unterrichtseinheit. Danach geht der Raspi aus und die App ist wieder leer / zurĂŒck auf null — deshalb ist „ZurĂŒck auf Null" im Terminal-Desktop kein Gimmick, sondern das Klassenzimmer-Prinzip im Kleinen (Nullfeld).

Ein-Port-Isolation (der Vertrauens-Kern). Die große App im nullfeld lĂ€uft direkt und greift selbst auf qdrant/nginx/ollama zu. Die Zero-Rust-Clients gehen explizit nur ĂŒber diesen EINEN Port — dahinter liegen die Dienste, unerreichbar fĂŒr den Zero direkt. Folge: KrĂŒmel-IDs können niemals vertauscht oder gespeichert werden — es sei denn freiwillig (z.B. ein guter Beitrag durch eine Frage, die in den Vektor darf). Das ist die technische Form der BWA-Haltung ([[crumbforest-passkante-bewegungsdaten]], [[geschuetzter-raum-im-jetzt]]). Design-Konsequenz fĂŒr RAG-auf-Zero: der Zero zeigt auf EINEN nullfeld-App-Endpunkt (nicht direkt auf qdrant:6333 + ollama:11434 wie heute im rag.rs-Default) — Dienste bleiben hinter der Kante.

Klassenzimmer-Frontend. ZusĂ€tzlich das HTML-Front (static/, #static) als PrĂ€sentationsmodus — fĂŒr die Wand/den Beamer. Damit ist es kein „Blackbox"-Feuerzeug / keine Spielerei, sondern Werkzeug zum Unterrichten.

Das Neue: der Mittelsmann. Kinder nutzen seine URL mit einem iPad; er erklÀrt den Wald und den Einstieg. Wird das gezeigt und ein Kind hÀlt seinen ersten eigenen Raspi in der Hand, reichen die Basic-Missionen (Terminal oder Browser).

Die Progression zum eigenen Zero. Dann gibt es KrĂŒmel, die ihren eigenen Zero pflegen wollen — die wurden im Raum erkannt, haben ihr Werkzeug persönlich erhalten und bekommen SSH im VPN (genau der Onboarding-Gate [[krumel-onboarding-token-gate]]: erst erkannt/registriert, dann SchlĂŒssel — „Code ohne Raum" umgekehrt gedacht).

Und das Beste — skaliert auf Sensoren. Derselbe Weg funktioniert spĂ€ter mit jedem Sensor in NetBox: alles nur „offizielle" KrĂŒmel. NetBox ist das Register der Wirklichkeit ([[was-nicht-antwortet-ist-nicht-da]], [[netbox-topologie-und-controlnode]]) — wer dort steht, ist echt; wer nicht antwortet/nicht registriert ist, ist nicht da. Kein Wildwuchs, kein anonymes GerĂ€t im Wald.

Status heute: Terminal-Desktop (~/wald/desktop.sh) auf crumbzero00 als Startpunkt gebaut; RAG auf dem Zero-Kernel NOCH NICHT (nur crumb-missions-Katalog/Runner) — der erste Beleg war die Verbindung ([[nullfeld-qdrant-ollama-loopback-bind]], curl 200). NĂ€chster Schnitt Richtung dieser Vision: RAG-Crumbcore auf einem Zero, ĂŒber den EINEN Port.

NĂ€chster großer Schnitt — die Rust-App auf nullfeld („der kleinste Hybrid im großen Ganzen", Branko 2026-08-16): die große App (hinter der die Dienste liegen) lĂ€uft NOCH NICHT auf nullfeld — das ist die zentrale Seite des Ein-Port-Modells. Es richtig zu machen berĂŒhrt die ganze Produktions-OberflĂ€che, „nix auf schnell": Subdomain (missions.crumbforest.) → SSL (certbot, nullfeld macht das schon fĂŒr .org/.de/.com) → nginx Reverse-Proxy (EIN Port → Rust :8788) → borgmatic (Backup des Dienst-States/der Daten, s. [[crumbforest-backup-lage]]) → VPN (wg-scoped: Zeros nur auf diesen Port) → ufw (dahinter dicht, qdrant/ollama bleiben 127.0.0.1, [[nullfeld-qdrant-ollama-loopback-bind]]). Warum „kleinster Hybrid": klein im Code, aber spannt zum ersten Mal die GANZE Architektur auf einmal auf (zentral + Zero-Clients, eine TĂŒr, Dienste dahinter, gesichert+gebackupt) — der kleinste vollstĂ€ndige* Beleg, nach dem das Muster fĂŒr jeden Sensor/jede Rolle steht. Crumbmissions-Repo hat inzwischen die neuen Rollen alle auf nullfeld (git.crumbforest.org/branko/Crumbmissions). Vor dem Bau: Ist-Stand read-only prĂŒfen (bestehende nginx-Sites/certbot/borgmatic/ufw auf nullfeld), nicht raten.