TP45 Schicht B1: DHCP-Reservierungen ins GC-Soll (Renderer + ComplianceRule)

Die 54 statischen Reservierungen des Cores standen in KEINEM Soll: das Template
rendert kein einziges /ip dhcp-server lease, und die Sektion stand unter keiner
ComplianceRule. Ein GC-Recovery von null haette einen Core ohne Reservierungen
erzeugt, in dem jedes IoT-Geraet in den Pool faellt -- und weil Compliance nur
prueft, was gerendert wird, waere die Zahl dabei gruen geblieben. Dieselbe
Luecke wie die handgelaufene `nautobot`-Adressliste.

- mikrotik_routeros.j2 [5b]: rendert local_config_context_data.dhcp_leases,
  gleiches Idiom wie firewall_filter.
- tp45-leases.py: seed/move/check. Zeilen werden verbatim uebernommen und nur
  im address=-Token getauscht -- das erhaelt Quoting und die 14 client-id-Felder.
  Reihenfolge bleibt die Geraete-Reihenfolge (Einfuege-, nicht numerisch).
- ingest-dhcp-lease-rule.py: Feature+Rule `dhcp-lease` auf RouterOS,
  config_ordered=False.

Noch KEIN Geraetewrite -- der Ist-Stand wurde als Soll gesetzt (Re-Baseline).

Co-Authored-By: Claude Sonnet 4.6 <noreply@anthropic.com>

nautobot/mikrotik_routeros.j2

@@ -138,6 +138,25 @@
 {% endfor %}
 /ip dhcp-server option add code=6 name="dns 1.1.1.1" value=0x01010101
 
+# [5b] DHCP-RESERVIERUNGEN — kommen als DATEN aus local_config_context_data.dhcp_leases,
+#      wie firewall_filter. Warum das noetig war: bis 2026-09-21 rendert dieses Template
+#      KEIN einziges `/ip dhcp-server lease`. Die 54 Reservierungen stammen aus dem
+#      Einmal-Skript routeros/tp21-core-dhcp-from-ap1.rsc (Core-Cutover 2026-08-06) und
+#      standen damit in KEINEM Soll — ein GC-Recovery von null haette einen Core ohne
+#      Reservierungen erzeugt, in dem jedes IoT-Geraet in den Pool faellt. Und weil
+#      Compliance nur prueft, was gerendert wird, waere die Zahl dabei gruen geblieben.
+#      Dieselbe Klasse wie die handgelaufene `nautobot`-Adressliste (s. CLAUDE.md).
+#
+#      🔴 Zeilen sind RouterOS-/export-Form, alphabetisch, OHNE fuehrenden Pfad — genau
+#         wie firewall_filter. Gefuellt und verschoben von nautobot/tp45-leases.py.
+#      🔴 Die REIHENFOLGE wird NICHT sortiert: das Backup traegt die Sektion in
+#         Einfuege-Reihenfolge (.30.150 frueh, .30.5 spaet), ein numerisch sortiertes
+#         Soll waere ein Dauer-Falsch-Drift. Die ComplianceRule steht deshalb auf
+#         config_ordered=no.
+{% for line in obj.get_config_context().get("dhcp_leases", []) %}
+/ip dhcp-server lease {{ line }}
+{% endfor %}
+
 # [6] DNS — DoH zum Cloudflare-Gateway, MIT Zertifikatspruefung (TP23 Stufe 1,
 #     scharf seit 2026-08-18; schliesst TP21.1 TODO 1).
 #     `servers=1.1.1.1` BLEIBT als Bootstrap stehen: RouterOS loest den