docs(ansible): README par rôle (19) + gaps IaC découverts à l'audit

Audit complet des rôles vs état réel du cluster. Chaque rôle a maintenant
un README.md : but, variables (défauts + surcharges host_vars/vault),
handlers, vérifications, caveats.

Gaps découverts et documentés :
- minio : rôle VIDE (tasks/main.yml sans aucune tâche), service inactif —
  placeholder à implémenter ou retirer (ports 9000/9001 ouverts pour rien)
- llama_server : ne gère que l'instance GPU :1234 — les services CPU
  llama-server-system :1236 et llama-server-monitor :1237 sont créés à la
  main sur gpu-01, non reproductibles par make apply-gpu (+ un
  llama-server-dev.service non documenté présent sur l'hôte)
- hermes_auto_improve : defaults port/repo/branch/log non consommés
  (valeurs en dur dans les scripts), défaut branch obsolète
- lm_studio : README de dépréciation, candidat suppression

Tables admin/ops/ansible.md, README.md et CLAUDE.md corrigées en conséquence.

Co-Authored-By: Claude Fable 5 <noreply@anthropic.com>

ansible/roles/gateway/README.md

@@ -0,0 +1,35 @@
+# gateway
+
+Fait de storage-01 le routeur/firewall du LAN cluster : nftables + NAT + IP forwarding.
+Remplace firewalld (stoppé et désactivé).
+
+## Ce que fait le rôle
+
+- Désactive firewalld, installe nftables
+- Active `net.ipv4.ip_forward`
+- Déploie `/etc/nftables.conf` depuis `templates/nftables.conf.j2` (policy **drop** en input/forward)
+
+## Ports ouverts (template nftables.conf.j2)
+
+| Port | Source | Service |
+|---|---|---|
+| 22 | LAN maison + cluster | SSH |
+| 53 udp/tcp, 67 udp | LAN cluster | dnsmasq (DNS + DHCP) |
+| 111, 2049 | LAN cluster | NFS |
+| 5432, 6333/6334, 9000/9001 | LAN cluster | PostgreSQL, Qdrant, MinIO |
+| 9100, 9093 | cluster + pods 10.42/16 | node_exporter, alertmanager-webhook |
+| 8080 | maison + cluster + pods | Hermes gateway |
+| 9119 | `hermes_dashboard_allowed_ip` uniquement | Dashboard Hermes |
+| 4000 | maison + cluster + pods | LiteLLM |
+| 25 | cluster + pods | Postfix relay |
+| 9095 | cluster + pods | hermes-auto-improve trigger |
+
+NAT : masquerade du LAN cluster vers le WAN.
+
+## Variables
+
+Pas de defaults — utilise `lan_interface`, `wan_interface` (host_vars) et `hermes_dashboard_allowed_ip` (defaults du rôle hermes_agent).
+
+## Caveat
+
+**Tout nouveau service réseau doit ajouter son port ici** (modifier le template puis `--tags gateway`). C'est la cause de plusieurs incidents passés (voir `admin/incidents.md` 2026-05-13, port monitoring bloqué).