TP28: ap3 (cAP ax) live als CAP, ap1 funkstill, Compliance 130/130 ueber 5 Geraete

Der dritte Access-Point laeuft: 10.40.99.13 auf vlan99, Uplink ether1 -> core ether21,
reiner CAP unter crs326-core, Kanaele 5180/ax/Ce/I und 2437/ax (ch6) -- am Geraet
nachgemessen, nicht aus dem Plan abgeschrieben. Der Kanalplan stammt aus TP25 vom
2026-08-24; mein erster Entwurf hatte ihn neu erfunden und waere bei ch1 statt ch6
gelandet. Lehre: den TP-Body lesen, nicht nur den Quick-Index.

ap1 hat bewusst KEINE Provisioning-Regel mehr: es steht bis zu seinem Umzug ans
Sideboard direkt neben ap3 und wuerde auf 5180 kollidieren. Geraet bleibt erreichbar,
die Objekte ch-*-ap1 / cfg-main-*-ap1 bleiben fuer den Umzug stehen.

Bring-up in zwei Phasen ueber ein Patchkabel ap3 ether2 -> core ether22, weil ueber
ether1 nichts ging (s.u.). Loop-Schutz: ether21 war waehrend Phase 1 abgeschaltet und
wurde im selben Befehl gegen ether22 getauscht. RouterOS 7.20.8 -> 7.24.1 plus
RouterBOOT (zwei Reboots, TP27-Kriterium erfuellt). Die anderen vier stehen auf 7.24 --
die Angleichung ist ein eigener Durchgang, der Core-Reboot ist ein Standort-Ausfall.

Nautobot: DeviceType "cAP ax", Device ap3 mit 16 Interfaces, primary_ip4, secrets_group,
ConfigContext 5g=ch36 2g=ch6 extra_ports=[]. Nebenkorrektur: ap1 stand auf "Wohnzimmer
Sideboard", steht physisch aber in Technik UG (User-Bestaetigung).

Sechs Funde, alle als Gotcha in CLAUDE.md und im Handoff:
- ether1 ist am Werksgeraet WAN: Discovery aus, Input-TCP verworfen, ICMP aber erlaubt.
  Es pingt, und das liest sich wie "erreichbar". MikroMCP hilft nicht -- Port 80 ist zu.
- pvid ist Ingress, tagged/untagged ist Egress. Ein Lease hing ewig auf "offered", weil
  der ACK getaggt rausging und ein Werksgeraet das nicht versteht.
- `cap enabled=yes` reicht nicht: jedes Master-Radio braucht configuration.manager=capsman,
  sonst bietet der CAP seine Radios gar nicht an -- state=Ok, radio-Tabelle leer.
- Ein Geraet ohne secrets_group erzeugt eine LUECKE, keine Fehlermeldung: Backup scheitert
  still, keine Compliance-Eintraege, Zahl bleibt unauffaellig bei 104/104. Eine
  gleichbleibende Compliance-Zahl nach dem Hinzufuegen eines Geraets ist ein BEFUND.
- CAPsMAN verteilt keine Login-Passwoerter, nur WLAN-PSKs. Der Geraete-Login ist eine
  lokale DB pro Geraet; das einheitliche Admin-PW ist eine Konvention von Hand.
- Firewall-Regelnummern aus `print where` sind Handles, keine Positionen. Beweis ist der
  Zaehler, nicht die Zahl.

Abnahme: 3 CAPs state=Ok, VAP-Satz vollstaendig und running, 20 IOT-Clients auf ap3 mit
0 % Ping-Verlust ueber VLAN30 (bewusst nicht ueber die Registration-Table abgenommen),
Compliance 130/130 / 0 Drifts, Core-Temp-Pfad restlos abgeraeumt.

Offen: TP25-Messrunde (braucht Rundgang), PW-Rotation TP30, MikroMCP-Neustart.

Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>

nautobot/ingest-ap-configcontext.py

@@ -97,9 +97,22 @@ DEVICE_CHANNELS = {
     # 5 GHz mit 40 MHz: ap1 ch36 belegt 5170-5210 (36+40), ap2 ch44 belegt 5210-5250
     # (44+48) -> benachbart, ueberlappungsfrei, beide mit /I-Indoor-Freigabe und 18 dBm.
     # ap2 war bis 2026-08-17 auf ch149 (5745, ETSI-Band C) und dort auf 9 dBm gedrosselt.
-    # 2,4 GHz: ch1/ch11 mit 20 MHz -> ueberlappungsfrei, ch6 bleibt fuer die Nachbarschaft frei.
+    # ap3 (cAP ax, seit 2026-08-30) uebernimmt in Technik UG ch36; ap1 steht bis zu seinem
+    # Umzug daneben und ist deshalb FUNKSTILL (keine Provisioning-Regel am Manager) --
+    # seine Kanaele bleiben hier stehen, weil sie beim Umzug wieder gebraucht werden.
+    # 2,4 GHz: mit ap3 auf ch6 ist 1/6/11 erstmals vollstaendig ueberlappungsfrei.
     "ap1": {"5g": 36, "2g": 1},
     "ap2": {"5g": 44, "2g": 11},
+    "ap3": {"5g": 36, "2g": 6},
+}
+
+# --- Per-Device: Abweichungen vom ap-common-Default -----------------------------------
+# Nur eintragen, was wirklich abweicht. Nautobot merged Dicts TIEF, Listen ERSETZEND --
+# eine leere Liste hier loescht den Default, genau das ist beim cAP ax gewollt.
+DEVICE_OVERRIDES = {
+    # cAP ax hat nur ether1 (PoE-in) + ether2 (PoE-out); ether2 ist bewusst kein
+    # Bridge-Port. Es bleibt also KEIN zusaetzlicher Bridge-Port uebrig.
+    "ap3": {"extra_ports": []},
 }
 
 CTX_NAME = "ap-common"
@@ -201,14 +214,15 @@ def main():
         if not d:
             print(f"  !! Device {dev} nicht gefunden")
             continue
-        want = {"ap": {"channels": ch}}
+        ov = "".join(f" {k}={v}" for k, v in DEVICE_OVERRIDES.get(dev, {}).items())
+        want = {"ap": {"channels": ch, **DEVICE_OVERRIDES.get(dev, {})}}
         if d.get("local_config_context_data") == want:
-            print(f"  = {dev}  5g=ch{ch['5g']} 2g=ch{ch['2g']} (unveraendert)")
+            print(f"  = {dev}  5g=ch{ch['5g']} 2g=ch{ch['2g']}{ov} (unveraendert)")
         elif DRY:
-            print(f"  ~ {dev}  -> 5g=ch{ch['5g']} 2g=ch{ch['2g']}  (dry-run)")
+            print(f"  ~ {dev}  -> 5g=ch{ch['5g']} 2g=ch{ch['2g']}{ov}  (dry-run)")
         else:
             req("PATCH", f"/dcim/devices/{d['id']}/", {"local_config_context_data": want})
-            print(f"  ~ {dev}  -> 5g=ch{ch['5g']} 2g=ch{ch['2g']}")
+            print(f"  ~ {dev}  -> 5g=ch{ch['5g']} 2g=ch{ch['2g']}{ov}")
 
     if DRY:
         print("\nDRY-RUN - nichts geschrieben. Mit --apply ausfuehren.")