TP16.3 cloudflared: Config + Bootstrap + .gitignore fuer Tunnel-Secret

cloudflared-Konfigurationsmaterialien fuer TP16.3 (BFF-public-Tunnel
auf dem Edge statt cloudflared-QUIC-Workaround). Enthaelt:

- ap-bootstrap.rsc: RouterOS-Script fuer ap1/ap2 (veth, srcnat,
  container-mounts, env-Vars). Token kommt aus ~/.secrets, wird per
  SFTP auf den Router kopiert — kein Klartext im Script.
- cloudflared-bf-public-config.yml: tunnel-UUID + credentials-Pfad
  (KEIN Secret). Ingress wird CF-Dashboard-gemanagt (config_src=cloudflare).
- .gitignore: credentials.json mit dem Tunnel-Secretbase64
  (PrivateKey des Tunnels, niemals committen).

Status: vorbereitet, nicht ausgefuehrt. credentials.json bleibt lokal.

routeros/cloudflared-bf-public-config.yml

@@ -0,0 +1,14 @@
+# cloudflared config for TP31 — Tunnel bf-public on ap1/ap2
+# Device: hAP ax² (arm64), RouterOS container
+# Deploy: als /etc/cloudflared/config.yml im Container (mount via RouterOS)
+# Token liegt in /etc/cloudflared/credentials.json (separater Mount)
+# Der Ingress wird zentral im CF-Dashboard verwaltet (config_src=cloudflare)
+
+tunnel: 48d3b0b6-7233-4781-a76a-1de4a5e957ce
+credentials-file: /etc/cloudflared/credentials.json
+
+# Kein Ingress hier — wird via Dashboard gemanagt (remote config).
+# Kein originRequest nötig — der Ingress definiert das pro Hostname.
+
+metrics: 0.0.0.0:49312
+loglevel: info