TP5 Etappe 1: Sammelphase laeuft, VLAN1-Rueckbau abgenommen

Abnahme bestanden: out:bridge = 0 ueber ein 10-Minuten-Fenster (Logdatei
vorher geleert). Vorher waren vlan20 -> bridge 76 % des gesamten
Inter-VLAN-Verkehrs; die Rate fiel von ~166 auf ~34 Zeilen/min.

Beobachtete Matrix (339 Zeilen / 10 min) als Arbeitsmaterial fuer Etappe 2
festgehalten. Zwei Befunde daraus:

- D4 ist belegt statt geschaetzt: der Management-Pfad ist HA (10.40.20.105),
  das ueber seine mikrotik-Integrationen 8728 auf branch/ap1 pollt (je 67x).
  Ohne Whitelist sperrt der spaetere Drop die Netzverwaltung aus.
- Neuer Merkposten: same-VLAN-Verkehr erreicht die forward-Kette —
  vlan10 -> vlan10 unicast mDNS, erzeugt vom mDNS-Repeater auf dem Core.
  Harmlos, aber ein blanker Drop wuerde Discovery innerhalb von MAIN
  beschaedigen.

Damit sind drei Whitelist-Zeilen bekannt, bevor Etappe 2 beginnt:
LAN->WAN, der Mgmt-Pfad, und same-VLAN-mDNS.

Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>

routeros/tp5-etappe1-resume.rsc

@@ -0,0 +1,26 @@
+# TP5 Etappe 1 — WIEDERAUFNAHME nach der Pause vom 2026-08-14.
+# Gegenstueck zu routeros/tp5-etappe1-pause.rsc.
+#
+# Der Grund fuer die Pause ist weg: die .41.x-Altlasten sind abgeraeumt
+# (HA -> 10.40.20.100, pve .41.100 entfernt, Core .41.211 entfernt,
+# Prometheus bereinigt, ioBroker korrigiert). Vorher waren 76 % des
+# Inter-VLAN-Verkehrs `vlan20 -> bridge`, also genau dieses Rauschen.
+#
+# Push:  python3 nautobot/gc-manual-plan.py --device crs326-core \
+#            --commands-file routeros/tp5-etappe1-resume.rsc \
+#            --change-id TP5-Etappe1-Resume --deploy
+# Backup davor: core-pre-tp5-resume-20260815.backup
+#
+# ABNAHME danach: `out:bridge` im Kollektor-Log muss auf 0 stehen.
+# Die Logdatei ist vor dem Scharfschalten geleert worden.
+
+# 1) Log-Regel wieder scharf. Blockiert nichts: action=log ist nicht-terminierend,
+#    und out-interface-list="!WAN" haelt den Internet-Verkehr draussen.
+:do { /ip firewall filter set [find comment="TP5: log-only, Vorstufe zum deny-by-default"] disabled=no } on-error={ :log info "tp5r: enable hat geworfen" }
+
+# 2) firewall wieder aus dem Memory-Ring nehmen. Sonst besteht der 1000-Zeilen-Puffer
+#    waehrend der Sammelphase zu 100 % aus TP5-Zeilen und der On-Box-Log ist fuer
+#    jede andere Fehlersuche wertlos — genau dann, wenn man ihn braucht.
+:do { /system logging set [find topics~"info" and action=memory] topics=info,!firewall } on-error={ :log info "tp5r: topics hat geworfen" }
+
+:log info ("tp5r: ENDE disabled=" . [:tostr [/ip firewall filter get [find comment="TP5: log-only, Vorstufe zum deny-by-default"] disabled]] . " memory-topics=" . [:tostr [/system logging get [find topics~"info" and action=memory] topics]])