tcp stream (und damit: tls passthrough) ist implementiert

docs/community.md

@@ -233,6 +233,26 @@ services:
 - Änderungen (Start, Stop, neue Labels) kommen innerhalb einer Sekunde bei Traefik an; Neustarts sind nicht nötig.
 - Nicht übernommene Container stehen mit Grund im Agent-Log („Container nicht übernommen“). Fremde Domains landen im Server-Log („Policy-Verstoß“).
 
+#### TLS-Passthrough (eigene CA, z. B. tinyCA)
+
+Soll TLS erst beim Backend enden, braucht der Mandant das Feature `tcp_stream` (`tenant add … --features tcp_stream`). Dann:
+
+```yaml
+    ports:
+      - "9000:9000"
+    labels:
+      - "traefik.enable=true"
+      - "traefik.tcp.routers.ca.rule=HostSNI(`ca.lab.example.de`)"
+      - "traefik.tcp.routers.ca.entrypoints=websecure"
+      - "traefik.tcp.routers.ca.tls.passthrough=true"
+      - "traefik.tcp.services.ca.loadbalancer.server.port=9000"
+```
+
+- Nur einzelne Hosts in `HostSNI` (mehrere mit `||`). ``HostSNI(`*`)``, `*.lab.example.de` und `HostSNIRegexp` werden abgelehnt, auch wenn das DNS eine Wildcard hat. In den Mandanten-Domains darf `*.lab.example.de` stehen.
+- Nur Entrypoint `websecure` (443). Andere Hosts auf 443 laufen weiter normal über HTTP.
+- Jeder TCP-Router zählt als Route.
+- Bei Wartung oder gestopptem Container gibt es keine Wartungsseite, die Route ist dann weg.
+
 ### 3.4 Erreichbarkeit Traefik → Backend
 
 Der Agent meldet `http://<backend-ip>:<veröffentlichter Port>`. Prüfen vom **Ingress** aus: