🌲 CrumbVPN: Der sichere Weg für jede Frage

Version: 1.0
Datum: 05.02.2026
Status: Vision → Deployment
Autor: Crew (CloudCat + OZMAI + Wald)

"Jede Frage, die verloren geht, ist eine Einladung zum Missbrauch von Kindern."

0. Warum CrumbVPN?

Die harte Realität:
Wenn ein Kind eine Frage hat und keinen sicheren Ort, sie zu stellen hat, geht es woanders hin:
* zu Menschen, die es ausnutzen
* zu Apps, die es tracken
* zu Systemen, die es manipulieren

CrumbVPN ist nicht „nur“ ein VPN.
Es ist eine Infrastruktur für Fragen, nicht für Traffic.
* Ein sicherer Tunnel zum Wald.
* Ein Bildungsschutzraum über Grenzen hinweg.

Ziel:
Samba in Warang, Alice in Nakivale und Krümel weltweit können sicher fragen, ohne in die "Krabbenwelt" gezogen zu werden.

1. Was schon da ist (Status Quo)

✅ Technisch bereit

• Pelikane & ESP32: Funken im lokalen Wald (MQTT, VLAN).
• Mikrotik RouterOS: VLAN pro Etage (Brandzonen).
• CrumbSeal: Passkante (Suizid/Notfall-Blocker).
• Vektorraum: RAG mit hunderten Dokumenten.
• Crew: 18 Rollen (Eule, Spider, Bugsy, Schraubbär, …).
• Lokale AI: Gemma/Ollama, Spider offline.

❌ Was fehlt

• Sicherer Weg für ZerOS außerhalb des OZM:
  • Samba in Warang (Senegal)
  • Alice in Nakivale (Uganda)
  • Krümel in Schulen ohne eigenen Wald

👉 CrumbVPN ist die Brücke.

2. Architektur – Drei Ebenen

graph TD
    subgraph Ebene1["EBENE 1: EXTERNES HOSTING (STRATO)"]
        Hub[WireGuard-HUB Entry Point]
        IP[Öffentliche IP: 194.164.194.191]
    end

    subgraph Ebene2["EBENE 2: OZM CORE (HAMMERBROOKLYN)"]
        Nullfeld[NULLFELD: Real-Time Feldanalyse, Brandschutz]
        Pelikan[PELIKAN LAYER: Mikrotik VLAN, MQTT, Sensoren]
        Forest[CRUMBFOREST CORE: 18 Crew Roles, CrumbSeal, RAG]
    end

    subgraph Ebene3["EBENE 3: DIE WANDERER (ZEROS)"]
        Z1[Zero @ OZM]
        Z2[Zero @ Warang]
        Z3[Zero @ Nakivale]
    end

    Hub <== "Tunnel: 10.42.0.0/24" ==> Ebene2
    Hub <== "Tunnel: 10.42.0.x" ==> Ebene3

3. Netzdesign & Adressierung

3.1 WireGuard-Netz

Tunnelnetz: 10.42.0.0/24

3.2 Services über CrumbVPN

Die Kommunikation läuft nur im Tunnel:
* HTTPS → Crumbforest UI/API (https://10.42.0.1:8443)
* MQTT → Pelikan/MQTT (tcp://10.42.0.1:1883)
* SSH (optional) → Admin-Zugriff

⛔ Kein offenes HTTP aus dem Internet – nur VPN-Entrypoint.

4. WireGuard – Konventionen

4.1 Server-Config (HUB)

Datei: /etc/wireguard/wg0.conf

[Interface]
Address = 10.42.0.1/24
ListenPort = 51820
PrivateKey = <SERVER_PRIVATE_KEY>

# Zero-1 @ OZM
[Peer]
PublicKey = <ZERO1_PUBLIC_KEY>
AllowedIPs = 10.42.0.11/32

# Zero Samba (Warang)
[Peer]
PublicKey = <ZERO_SAMBA_PUBLIC_KEY>
AllowedIPs = 10.42.0.21/32

4.2 Client-Config (Zero)

Datei: /etc/wireguard/wg0.conf auf dem Zero

[Interface]
Address = 10.42.0.21/32          # z.B. Samba
PrivateKey = <ZERO_SAMBA_PRIVATE_KEY>
DNS = 10.42.0.1                  # optional

[Peer]
PublicKey = <SERVER_PUBLIC_KEY>
Endpoint = 194.164.194.191:51820 # Strato IP
AllowedIPs = 10.42.0.0/24        # Nur Tunnel-Traffic
PersistentKeepalive = 25

5. Use Cases – Warum sich der Tunnel lohnt

5.1 Samba in Warang (Senegal) 🇸🇳

Situation: Wasserpumpe im Sage Hospital defekt. Samba hat Crumb Zero.
1. Verbindung: Zero baut Tunnel zu CrumbVPN.
2. Frage: Samba fragt Schraubbär: "La pompe à eau ne fonctionne plus. Comment puis-je la réparer ?"
3. Antwort: Schraubbär liefert Diagnoseschritte, Sicherheitswarnungen und Materialliste auf Französisch.
4. Ergebnis: Pumpe läuft wieder. Keine Daten an Big-Tech.

5.2 Alice in Nakivale (Uganda) 🇺🇬

Situation: Off-Grid Kontext.
1. Sync: Zero sync’t, sobald Netz da ist (Café/Hotspot).
2. Lernen: Alice stellt Fragen zu Physik oder Rechten.
3. Schutz: Kein Profiling, keine Werbung, kein "Abo".

6. Sprachen – Multilingual RAG

CrumbVPN ist der Transport. Lernen passiert im Wald.

• 🇩🇪 Deutsch – Live
• 🇬🇧 Englisch – Live
• 🇫🇷 Französisch – Für Samba
• 🌍 Wolof – Geplant
• 🌍 Swahili – Geplant

Wichtig: Nicht nur UI übersetzen, sondern RAG-Dokumente pro Sprache indexieren.

7. Sicherheit & Compliance

7.1 DSGVO & CKL

• Keine personenbezogenen Daten verlassen den OZM unnötig.
• Verschlüsselung: ChaCha20 via WireGuard.
• CKL: Kinder zahlen nie. Keine Werbung. Kein Tracking.
• Code: Open Source.

7.2 EU AI Act

• CrumbSeal sorgt für Safety & Hard-Stops.
• CrumbVPN ist reine Infrastruktur. Entscheidungen bleiben beim Menschen.

8. Deployment-Phasen

1. Phase 1: Zero-1 (OZM Test)
   • [ ] WireGuard-Server auf Strato
   • [ ] Zero-Client im OZM koppeln
2. Phase 2: OZMAI Rack & VLAN
   • [ ] Mikrotik VLAN Segmentierung
   • [ ] Crumbforest Core Tunnel-Anbindung
3. Phase 3: Erste externe Zeros
   • [ ] Rollout Samba & Alice
   • [ ] CrumbSeal Remote-Check
4. Phase 4: RZ & DE-CIX
   • [ ] Eigenes Rack, Peering, ISO 27001

9. Hausaufgaben für die Crew

• [ ] VPN_SETUP.md schreiben (Technische Anleitung)
• [ ] WireGuard-Keys in Vault sichern
• [ ] CrumbSeal-Regeln für "Remote Questioning" prüfen
• [ ] Minimal-UI für Verbindungsstatus auf dem Zero

"Der Wald wächst nicht durch Zeit. Der Wald wächst durch Präsenz."

Mit CrumbVPN wird diese Präsenz global.

Wuhuuuu. 🌲🔒💚