Record S6 production and NAS recovery acceptance [skip ci]

docs/production-deployment.md

@@ -90,6 +90,28 @@ Docker-locatie en `DOCKER_CONFIG` in. Gebruik een eigen `docker-auth`-submap.
 Alleen de frontend bindt aan de private IPv4; de backend krijgt geen hostpoort.
 De Docker-projectnaam is vast `agiledancers-production`.
 
+### DSM-firewall
+
+De bevestigde productieomgeving gebruikt frontendpoort **8088** op
+`192.168.2.28` en Docker-subnet **172.18.0.0/16**. Maak in
+**Configuratiescherm → Beveiliging → Firewall → Regels bewerken** toestaan-regels
+op **Alle interfaces**, boven eventuele weigerregels:
+
+| Poort | Protocol | Bron | Actie |
+| --- | --- | --- | --- |
+| 8088 | TCP | `192.168.2.0`, masker `255.255.255.0` | Toestaan |
+| 8080 | TCP | `172.18.0.0`, masker `255.255.0.0` | Toestaan |
+
+De eerste regel geeft LAN-clients toegang; de tweede laat de frontend de backend
+bereiken. Voeg voor bestaande VPN-clients zo nodig hun eigen bron-subnet toe
+aan de frontendregel. Er wordt geen backendpoort op de NAS gepubliceerd en de
+firewall blijft aan. Controleer bij het opnieuw aanmaken van het Docker-netwerk
+het werkelijke subnet met `docker network inspect` en pas de regel aan als dat
+subnet wijzigt. Gewone deployments vervangen containers en behouden het netwerk.
+
+De tijdelijke S6-acceptatieregel voor `172.20.0.0/16` mag na de geïsoleerde tests
+weg; dat testnetwerk en de testcontainers zijn opgeruimd.
+
 Als Docker sudo vereist, laat een beheerder met `visudo` een afzonderlijke
 sudoers-regel installeren en valideren, met het gecontroleerde Docker-pad: