Gut zu wissen, dann hab ich keine Eile DNS umzustellen^^
Bzgl. ssh-agent: Lasse ihn wie in deinem Guide beschrieben (12.9.4.1.1) automatisch starten und KeepassXC injiziert erfolgreich meinen privaten Key. Den sehe ich dann per ssh-add -l. Das Problem ist jetzt nur, wenn ich eine ssh Verbindung starte mit diesem Key, werde ich nach dem Passwort gefragt, was ja nicht sein sollte, wenn der Key in den Agenten geladen wurde. Wie sich herausstellte, sieht ssh den Key im Agenten einfach nicht, weil firejail das blockiert. Mit firejail --noprofile ssh ... ging es dann ohne Passworteingabe, wie erwartet. Deshalb hab ich mir eine ssh.local erstellt, die den Socket whitelisted, das fehlt bei dir. Habe dazu auf die Schnelle nicht viel im Netz gefunden, daher weiß ich nicht ob das Absicht ist oder im firejail Standard Profil für ssh einfach etwas fehlt.
