gateway: Caddy aus dem LiteLLM-Stack loesen, eigener oci-Dienst

Caddy terminiert TLS fuer llm.lan und zeigt auf den llmrouter (:4010). Solange
er im llmlite-Compose steckte, haette das Abschalten von LiteLLM ihn mitgenommen
- der Router laeuft dann zwar weiter, ist aber von aussen nicht erreichbar.

Neue Quelle llmrouter/caddy/{compose.yml,Caddyfile}; agents-pull spiegelt sie
nach /srv/caddy und startet den Dienst bei Aenderung neu.

Vorarbeit zur Abschaltung von LiteLLM (42i/intern#1252).

Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>

caddy/Caddyfile

@@ -0,0 +1,7 @@
+{
+  acme_ca https://acme.lan/acme/acme/directory
+}
+
+llm.lan {
+  reverse_proxy localhost:4010
+}

caddy/compose.yml

@@ -0,0 +1,22 @@
+# Caddy als eigener oci-Dienst auf dem Gateway-LXC 185020 (llm.lan).
+#
+# Warum getrennt: Caddy hing bis 2026-09-07 im LiteLLM-Stack (llmlite/compose.yml).
+# Damit haette `podman-compose down` fuer LiteLLM auch die TLS-Terminierung von
+# llm.lan mitgenommen -- und der llmrouter (systemd-Unit auf :4010, der eigentliche
+# Gateway) waere von aussen unerreichbar gewesen, obwohl er laeuft. Caddy ueberlebt
+# die LiteLLM-Abschaltung jetzt unabhaengig (42i/intern#1252, Vorarbeit).
+#
+# Quelle: 42i/agents llmrouter/caddy/ -- /srv/caddy/* nie von Hand editieren,
+# agents-pull ueberschreibt (Policy source-before-live).
+services:
+  caddy:
+    image: git.42i.org/42i/caddy
+    container_name: caddy
+    restart: unless-stopped
+    network_mode: host
+    volumes:
+      - /srv/caddy/Caddyfile:/etc/caddy/Caddyfile:ro,Z
+      - /srv/caddy/caddy-data:/data:Z
+      - /srv/caddy/caddy-config:/config:Z
+    labels:
+      io.containers.autoupdate: registry