Menuepunkt: Firewall-Regeln uebernehmen

Der Bericht sagte bisher nur, was fehlt - gesetzt wurde es entweder auf
der Kommandozeile mit "firewall open --apply" oder gar nicht. Unter
Einstellungen > Firewall stehen jetzt zwei Aktionen: pruefen und
uebernehmen.

Beim Uebernehmen wird zuerst nach einem Quellnetz gefragt und erst
danach angezeigt, was ausgefuehrt wird. Die Reihenfolge ist Absicht -
das Quellnetz aendert die Kommandos, und was im Fenster steht, soll
auch das sein, was laeuft. Ohne root-Rechte wird ueber sudo neu
aufgerufen; zum Schluss zeigt die Oberflaeche den Stand danach.

Dabei zwei Dinge in Ordnung gebracht:

  - cmd_firewall gab auch nach erfolgreichem Uebernehmen noch 1 zurueck
    (den urspruenglichen Befund). Die Oberflaeche las das als
    "FEHLGESCHLAGEN", obwohl die Regeln gesetzt waren.
  - Die aktiven Zonen werden einmal je Aufruf ermittelt statt erneut
    fuer jede Regelzeile.

Die FW_*-Schluessel fehlen in einer aelteren .env noch; im Menue steht
dann <leer>. Die Beschriftungen nennen deshalb die Vorgabe, die in dem
Fall gilt.

Co-Authored-By: Claude Opus 5 (1M context) <noreply@anthropic.com>

README.md

@@ -1889,7 +1889,22 @@ Ausstellung scheitern. Darauf weist der Bericht hin.
 
 In der Oberfläche steckt derselbe Bericht unter **Firewall prüfen**, samt
 Rückfrage, ob die fehlenden Freigaben gleich gesetzt werden sollen. Die
-Schalter dazu liegen unter **Einstellungen → Firewall: was offen sein muss**.
+Schalter liegen unter **Einstellungen → Firewall: was offen sein muss**, und
+dort stehen auch zwei Aktionen:
+
+| Menüpunkt | was er tut |
+|---|---|
+| `>> Firewall jetzt prüfen` | derselbe Bericht wie `firewall check` |
+| `>> Firewall-Regeln übernehmen (Ports öffnen)` | fragt erst nach einem Quellnetz, zeigt **danach** die Kommandos, die genau so ausgeführt werden, und setzt sie nach Bestätigung |
+
+Die Reihenfolge ist Absicht: das Quellnetz ändert die Kommandos, deshalb wird
+es vor der Anzeige erfragt – was im Fenster steht, wird auch ausgeführt. Ohne
+`root` wird über `sudo` neu aufgerufen. Zum Schluss zeigt die Oberfläche den
+Stand danach, damit man nicht raten muss, ob es gewirkt hat.
+
+> Sind die `FW_*`-Schlüssel in einer älteren `.env` noch nicht vorhanden, steht
+> im Menü `<leer>` – es gelten dann die Vorgaben (`single`, alles aus). Sobald
+> ein Wert gesetzt wird, landet der Schlüssel in der `.env`.
 
 ### Von Hand