diff --git a/docs/ip-plan.md b/docs/ip-plan.md
index 6c405d8..a0e3f3a 100644
--- a/docs/ip-plan.md
+++ b/docs/ip-plan.md
@@ -22,8 +22,8 @@
 | ap2 (hAP) | 10.40.41.2 | AP | 99 MGMT | `10.40.99.2` | ⬜ | |
 | sw1 ALLNET (Core) | 10.40.41.11 | Switch-Mgmt | 99 MGMT | `10.40.99.11` | ⬜ | Mgmt-VLAN-Wechsel = Lockout-Risiko, sorgsam |
 | sw2 Omada (ES208G) | 10.40.41.12 | Switch-Mgmt | 99 MGMT | `10.40.99.12` | ⬜ | |
-| NAS nas-bf (DS923) | 10.40.41.10 | INFRA | 20 INFRA | `10.40.20.10` | ⬜ | trägt Omada-Controller (macvlan) |
-| Omada-Controller | 10.40.41.175 | Service (macvlan/DS923) | 20 INFRA | `10.40.20.175` | ⬜ | ⚠️ Mgmt-Ebene — vorsichtig/spät |
+| NAS nas-bf (DS923) | 10.40.41.10 | INFRA | 20 INFRA | `10.40.20.10` | ⬜ | 🔴 **Geblockt:** CF Zero Trust angepasst + TP10 (VPN auf ap1) abgeschlossen |
+| Omada-Controller | 10.40.41.175 | Service (macvlan/DS923) | 20 INFRA | `10.40.20.175` | ⬜ | 🔴 **Geblockt:** macvlan auf DS923 → folgt NAS (gleicher Block) |
 | omada-mcp | 10.40.41.176 | Service (pve-LXC) | 20 INFRA | `10.40.20.176` | ⬜ | ⚠️ Mgmt-Ebene |
 | pve-mcp | 10.40.41.173 | Service (pve) | 20 INFRA | `10.40.20.173` | ⬜ | ⚠️ Mgmt-Ebene |
 | Docker-LXC | 10.40.41.126 | Docker-Host (pve) | 20 INFRA | `10.40.20.126` | ⬜ | Portainer/Komodo |
@@ -34,14 +34,29 @@
 > Weitere Geräte (Home Assistant, HA-IoT, Drucker-Reservierung, etc.) hier ergänzen, sobald relevant.
 
 ## Migrations-Reihenfolge & Risiko
-1. **Unkritisch zuerst** (kein Mgmt-Pfad): z.B. Mac mini, Docker-LXC-Workloads.
-2. **NAS** als zentraler Block — zieht den macvlan-Omada-Controller mit; Controller-IP-Wechsel = ich verliere
-   kurzzeitig den Omada-Zugriff → vorher omada-mcp/Controller-Erreichbarkeit auf neue IP umstellen.
-3. **Mgmt-Plane zuletzt** (omada-mcp, pve-mcp, Controller): erst migrieren, wenn der neue Pfad verifiziert ist.
-4. **Switch-/AP-Mgmt (VLAN99)**: Lockout-Risiko — VLAN muss am Port liegen + Gerät trägt es, in einem Schritt.
+
+### Phase 1 — INFRA, sofort möglich (✅ Mac mini schon live)
+1. **Proxmox pve** → `10.40.20.100` (Hypervisor, kein Lockout-Risiko, Management per SSH/Web).
+2. **Docker-LXC** → `10.40.20.126` (Portainer-Host auf pve, folgt pve).
+3. **pve-mcp** → `10.40.20.173` (pve-LXC, folgt pve; MCP-URL in `~/.claude/settings.json` updaten).
+4. **omada-mcp** → `10.40.20.176` (pve-LXC, folgt pve; MCP-URL in `~/.claude/settings.json` updaten).
+
+### Phase 2 — MGMT-Plane, Lockout-Risiko (nach Phase 1, VLANs verifiziert)
+5. **ap2** → `10.40.99.2` (hAP #2 Mgmt-IP; VLAN99 muss am Port sitzen, in einem Schritt).
+6. **sw2 Omada (ES208G)** → `10.40.99.12` (Controller-Config + Port-VLAN in einem Schritt).
+7. **sw1 ALLNET** → `10.40.99.11` (Telnet-CLI, risikoreichstes Gerät — zuletzt in dieser Phase).
+
+### Phase 3 — Geblockt auf CF Zero Trust + TP10
+8. **NAS nas-bf (DS923)** → `10.40.20.10`
+   - Voraussetzung 1: CF Zero Trust auf neue Ziel-Struktur (VLAN20-Subnetze, neue IPs) angepasst.
+   - Voraussetzung 2: TP10 abgeschlossen (VPN-Tunnel 2× WG auf ap1; FB kann Bridge-Mode gehen).
+9. **Omada-Controller** → `10.40.20.175` (macvlan auf DS923 → folgt automatisch mit NAS; kurz Mgmt-Downtime).
+
+### Phase 4 — nach TP10
+10. **FritzBox 6660** → Bridge-Mode (wird zum reinen Modem; IP `10.40.41.254` entfällt als GW).
 
 ## Abhängigkeiten
 - ✅ VLAN1↔VLANx-Routing (FB-Route) · ✅ ap1-NAT-Ausnahme (inter-VLAN ohne SNAT).
 - Speist den **Rest des Omada-PVID-Fix** (P7 macmini→INFRA, P8 NAS→INFRA, P4 nach Klärung) sowie die
   DNS-`bf.lan`-Aktualisierung in [project_tp4_router]-Memory.
-- Unabhängig von TP10/Bridge.
+- **NAS + Controller: geblockt auf CF Zero Trust + TP10** (User-Entscheid 2026-06-16).