Box-Konsole hinter MC2-Reverse-Proxy (kein Firewall-Port noetig)

Problem: ttyd auf :7682 war von aussen per ufw geblockt (nur 7681/9001 offen), also
im Browser Timeout — und ufw oeffnen braucht sudo, das MC2 hier nicht passwortlos hat.

Fix: ttyd bindet jetzt NUR an Loopback (--interface lo, --base-path /console) und wird
von MC2 ueber den ohnehin offenen Port 9001 same-origin durchgereicht:
- routers/console.py: HTTP-Passthrough (index/token) + WebSocket-Bridge (tty-Subprotokoll
  auf beiden Seiten) → /console/ + /console/ws.
- app.py: console.router VOR dem SPA-Catch-all eingehaengt.
- config: BOX_CONSOLE_UPSTREAM (127.0.0.1:7682) + BOX_CONSOLE_PATH (/console/);
  agent_status liefert box_console_url=/console/ + reachable=Upstream-Check.
- deploy/box-console.service: --interface lo --base-path /console.
- vite: /console (ws:true) fuer die Dev-Vorschau geproxyt.

Kein Firewall-/sudo-Eingriff noetig; Konsole laeuft same-origin zum Dashboard.

Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>

backend/services/agent.py

@@ -11,7 +11,7 @@ import re
 import httpx
 import psutil
 
-from config import HERMES_TERMINAL_URL, BOX_CONSOLE_URL, HERMES_API_URL, HERMES_HOME, PC_EXECUTOR_URL
+from config import HERMES_TERMINAL_URL, BOX_CONSOLE_UPSTREAM, BOX_CONSOLE_PATH, HERMES_API_URL, HERMES_HOME, PC_EXECUTOR_URL
 
 log = logging.getLogger(__name__)
 
@@ -141,11 +141,12 @@ def agent_status() -> dict:
         "gateway_url": HERMES_API_URL,
         # Interaktives Web-Terminal (ttyd → `hermes chat`), eingebettet in MC2.
         "terminal_url": HERMES_TERMINAL_URL,
-        # Box-Konsole (ttyd → Login-Shell): direkter SSH-artiger Box-Zugriff, eingebettet in MC2.
-        "box_console_url": BOX_CONSOLE_URL,
+        # Box-Konsole (ttyd → Login-Shell): same-origin über MC2 geproxyt (/console/).
+        "box_console_url": BOX_CONSOLE_PATH,
         "gateway_reachable": _reach(HERMES_API_URL, "/health"),
         "terminal_reachable": _reach(HERMES_TERMINAL_URL, "/"),
-        "box_console_reachable": _reach(BOX_CONSOLE_URL, "/"),
+        # Erreichbarkeit des lokalen ttyd-Upstreams (Loopback, base-path /console).
+        "box_console_reachable": _reach(BOX_CONSOLE_UPSTREAM, "/console/"),
         "home_exists": home.exists(),
         "brain_model": brain_model,
         # Best-effort: welche Verdrahtung lokal sichtbar ist (auf der Box aussagekräftig).