Testwebserver fuer Port- und Firewall-Tests hinzufuegen

- testwebserver/: eigenstaendiger Python-Webserver (python:3.12-alpine, kein Build),
  Port/TLS/Text in .env, zeigt Client-IP und loggt jeden Zugriff
- start.sh: erkennt Docker/Podman (inkl. rootless Port-Grenze), prueft Port-Konflikte,
  erzeugt bei TLS=yes ein selbstsigniertes Zertifikat, Befehle up/down/restart/logs/ps/test/firewall
- firewall-check.sh: erkennt auch HTTP-Dienste ohne TLS als erreichbar
- .gitignore: testwebserver/.env versionieren, testwebserver/certs/ ausschliessen
- README: Abschnitt Testwebserver

Co-Authored-By: Claude Opus 5.5 (1M context) <noreply@anthropic.com>

README.md

@@ -179,6 +179,24 @@ HTTPS“ und lädt die Podman-Regeln neu.
 außerhalb des Servers (Cloud-Firewall, Proxmox-Firewall, Netzwerk-Firewall) kann er nicht
 sehen. Dafür von einem anderen Rechner testen: `curl -kI https://<server>:443`
 
+### Testwebserver (`testwebserver/`)
+
+Ein kleiner Webserver, um die Erreichbarkeit eines Ports unabhängig von Wazuh zu testen. Er ist
+eigenständig, du kannst das Verzeichnis auch allein auf einen anderen Rechner kopieren.
+
+```bash
+cd testwebserver
+nano .env                  # PORT=8080, TLS=no|yes, MESSAGE=...
+./start.sh                 # erkennt Docker/Podman, startet und testet lokal
+./start.sh logs            # jede Anfrage mit Client-IP: kommt der Zugriff von außen überhaupt an?
+sudo ./start.sh firewall   # Firewall-Check für diesen Port (legt fehlende Regeln an)
+./start.sh down
+```
+
+Es wird kein eigenes Image gebaut, nur das offizielle `python:3.12-alpine` geladen. Bei
+`TLS=yes` erzeugt `start.sh` ein selbstsigniertes Zertifikat (braucht `openssl`). Ist der Port
+schon belegt, meldet `start.sh` das vor dem Start.
+
 ## Wo finde ich die Daten im Dashboard?
 
 Per SSH geholte Logs und Agentless-Ergebnisse laufen **über den Manager**. Im Dashboard
@@ -214,6 +232,7 @@ Ports 1514 und 1515 sind nicht nach außen veröffentlicht. Nur der Collector er
 | `hosts.yml` | Die einzige Stelle für Hosts und Optionen |
 | `setup.sh` | Einrichtung und Betrieb (erkennt Docker/Podman) |
 | `firewall-check.sh` | Erreichbarkeit des Dashboard-Ports prüfen und reparieren |
+| `testwebserver/` | Eigenständiger Testwebserver für Port-/Firewall-Tests |
 | `docker-compose.yml` | Stack. Nach außen geht nur das Dashboard (`DASHBOARD_PORT`) |
 | `.env` | Version, Zeitzone, Passwörter (von `setup.sh` erzeugt, nicht committen) |
 | `ssh/` | `id_ed25519` (privater Schlüssel, nicht committen), `known_hosts` |