TP21: routers.yaml auf finale MGMT-IPs aktualisiert; Sub-TP21.1 CRS326-Branch-Recovery dokumentiert; Nautobot-Image procps-Fix

- mcp/mikromcp/config/routers.yaml: ap1→10.40.99.11, ap2→10.40.99.12,
  crs326-core→10.40.99.1, crs326-branch→10.40.99.2 (tags aktualisiert).
- docs/teilprojekte.md: TP21.1 angelegt — Branch nach Reboot/Lockout recovery.
- docs/nas-vlan20/nautobot-image/Dockerfile: procps installiert (healthcheck).

Co-Authored-By: Claude <noreply@anthropic.com>

mcp/mikromcp/config/routers.yaml

@@ -1,40 +1,36 @@
-# MikroMCP Router-Registry — BF hAP ax²
+# MikroMCP Router-Registry — BF Netzwerk (final IPs, TP21)
 # Credentials NICHT hier, sondern via ENV (envPrefix -> ROUTER_<PREFIX>_USER/PASS in .env).
-# APs sprechen REST über PLAIN HTTP auf Port 80 (verifiziert: curl ...:80/rest funktioniert).
-#   -> tls.enabled: false  (rest-client.ts: scheme = tls.enabled ? https : http)
-# Sobald www-ssl auf den APs aktiv ist, auf port 443 + tls.enabled:true + fingerprint umstellen.
+# Alle Geräte sprechen REST über PLAIN HTTP auf Port 80.
+# -> tls.enabled: false (rest-client.ts: scheme = tls.enabled ? https : http)
+# Änderungen hier werden erst nach MikroMCP-Neustart wirksam.
 
 routers:
   ap1:
-    host: "10.40.41.1"
+    host: "10.40.99.11"
     port: 80
     tls:
       enabled: false
-      rejectUnauthorized: true     # Pflichtfeld lt. Schema; ohne Wirkung bei enabled:false
+      rejectUnauthorized: true
     credentials:
       source: "env"
-      envPrefix: "ROUTER_AP1"      # -> ROUTER_AP1_USER, ROUTER_AP1_PASS
-    tags: ["bf", "wifi", "capsman-manager", "future-router"]
+      envPrefix: "ROUTER_AP1"
+    tags: ["bf", "wifi", "access-point"]
     rosVersion: "7.23"
 
   ap2:
-    host: "10.40.41.2"
+    host: "10.40.99.12"
     port: 80
     tls:
       enabled: false
-      rejectUnauthorized: true     # Pflichtfeld lt. Schema; ohne Wirkung bei enabled:false
+      rejectUnauthorized: true
     credentials:
       source: "env"
-      envPrefix: "ROUTER_AP2"      # -> ROUTER_AP2_USER, ROUTER_AP2_PASS
-    tags: ["bf", "wifi", "cap"]
+      envPrefix: "ROUTER_AP2"
+    tags: ["bf", "wifi", "access-point"]
     rosVersion: "7.23"
 
-  # --- TP15 CRS326-Bring-up (2026-07-23) ---
-  # Mgmt auf VLAN99. www=plain HTTP:80 (wie ap1/ap2) -> tls.enabled:false.
-  # ENV via ~/.secrets/exports.zsh: CRS326_CORE_USER/PASS, CRS326_BRANCH_USER/PASS.
-  # Wird erst nach MCP-Neustart (neue Session) live; diese Session Verify via direktem REST-curl.
   crs326-core:
-    host: "10.40.41.211"  # TEMP cutover mgmt IP until VLAN99 trunk through sw1 is live
+    host: "10.40.99.1"
     port: 80
     tls:
       enabled: false
@@ -42,11 +38,11 @@ routers:
     credentials:
       source: "env"
       envPrefix: "CRS326_CORE"
-    tags: ["bf", "switch", "core", "future-l3-router"]
+    tags: ["bf", "switch", "core", "l3-router"]
     rosVersion: "7.19.5"
 
   crs326-branch:
-    host: "10.40.99.13"
+    host: "10.40.99.2"
     port: 80
     tls:
       enabled: false