TP25: sec-main zurueck auf ft=yes/ft-over-ds=yes (Ruecknahme 09-04, Hebel-A gescheitert)

- Go Christoph 2026-09-14 nach Terrasse-In-situ-Session: mit ft=no ist jeder
  Roam eine Voll-Reassoziation -- darin starben 2 Anrufe.
- Known-Good-Stand vor Hebel-2: Fund-E-Abschlussmessung 09-02 lief auf
  ft=yes/ft-over-ds=yes + 7.24.1 ruhig (4 reauth/8,6 h, 0 Ausfaelle).
- Template [6c]-Kommentar auf Stand 09-14 gebracht: signal-range-Boden
  geprueft und gescheitert (kein band-Property, cap-wifiN-Rejoin-Falle).
- Commands-File docs/transaktionen/TP25-ft-yes-secmain.commands.rsc fuer
  den GC-Deploy via gc-manual-plan.py (Dry-Run gelesen).

Co-Authored-By: Claude Fable 5 <noreply@anthropic.com>

docs/transaktionen/TP25-ft-yes-secmain.commands.rsc

@@ -0,0 +1,8 @@
+# TP25 — sec-main zurueck auf ft=yes / ft-over-ds=yes (Ruecknahme der 09-04-Entscheidung "ft=no als Dauerzustand")
+# Go: Christoph 2026-09-14 ("go fuer ft=yes, dry-run vorlegen"), Terrasse-In-situ-Session
+# Anlass: 2 Call-Aussetzer + ~30 Roams in 25 min — mit ft=no ist jeder Roam (Band- und AP-Wechsel)
+#         eine Voll-Reassoziation in Sekundenhoehe; genau darin sterben Anrufe.
+# Nachweis, dass ft-over-ds=yes + 7.24.1 ruhig ist: Fund-E-Abschlussmessung 09-02 (4 reauth/8,6 h, 0 Ausfaelle).
+# Nur am Manager noetig: sec-main wird per CAPsMAN an alle CAPs verteilt (Uniformitaet per Konstruktion);
+#   Inline-Overrides je CAP gibt es seit dem ap3-Fix 09-04 nicht mehr — Abnahme prueft sie trotzdem (Merkregel).
+/interface wifi security set sec-main ft=yes ft-over-ds=yes

nautobot/mikrotik_routeros.j2

@@ -225,7 +225,7 @@
 # sec-main: ft=no seit 2026-09-04 (User-Entscheid nach TP25-Messung). Fast-Transition
 # komplett aus; ft-over-ds ist damit gegenstandslos (gilt nur bei ft=yes) und steht auf no.
 # Fund E hatte ft-over-ds=no BEI ft=yes widerlegt -- das hier ist ein anderer Hebel (FT aus).
-/interface wifi security add authentication-types=wpa3-psk ft=no ft-over-ds=no name=sec-main passphrase="<<REDACTED>>"
+/interface wifi security add authentication-types=wpa3-psk ft=yes ft-over-ds=yes name=sec-main passphrase="<<REDACTED>>"
 /interface wifi security add authentication-types=wpa2-psk,wpa3-psk disabled=no ft=no name=sec-infra passphrase="<<REDACTED>>"
 /interface wifi security add authentication-types=wpa2-psk,wpa3-psk disabled=no ft=no name=sec-iot passphrase="<<REDACTED>>"
 /interface wifi security add authentication-types=wpa2-psk,wpa3-psk ft=no name=sec-media passphrase="<<REDACTED>>"
@@ -273,17 +273,16 @@
 #        python3 nautobot/gc-transaktion.py begin --device crs326-core \
 #            --scope wifi-access-list --change-id TEST-... --expires JJJJ-MM-TT
 #
-#      🔴 Hier landet TP25 **Fund E** (`signal-range`-Boden gegen klebende Clients),
-#      sobald er entschieden ist. Die alte Auflage lautete "vor dem Eintragen den
-#      Sticky-Fall erneut messen" -- das ist am 2026-08-30 passiert: dasselbe iPhone
-#      machte 16 Bandwechsel in 20 Minuten bei -53..-81 dBm, erst an ap3, dann an ap2.
-#      Fund E ist damit WIEDER OFFEN.
-#      Eingetragen wird hier trotzdem NICHTS, und zwar bewusst: ein signal-range-Boden
-#      ist der invasivste der drei Hebel und kann Clients AUSSPERREN -- genau das war
-#      08-22 das Gegenargument (in den schwachen Raeumen gibt es keinen besseren AP,
-#      auf den ein Boden steuern koennte). Erst kommen (1) `2g-probe-delay=yes` und
-#      (2) `ft-over-ds=no`, jeder einzeln und als Transaktion, mit dem seit 2026-08-30
-#      laufenden wireless-Logging als Messgrundlage. Siehe teilprojekte.md TP25 Fund E.
+#      🔴 Stand 2026-09-14 (Terrasse-In-situ-Session): der `signal-range`-Boden gegen
+#      klebende Clients ist GEPRUEFT und GESCHEITERT -- `/interface wifi access-list`
+#      hat kein `band`-Property (Band-Scoping ginge nur ueber cap-wifiN-Interface-Namen,
+#      die bei jedem CAP-Rejoin wechseln), SSID-/MAC-Scope ohne Band träfe 2,4 GHz mit
+#      (Lockout-Risiko, Schlafzimmer -84). Der Boden ist damit NICHT umsetzbar; der
+#      Ersatz gegen die Call-Aussetzer ist `ft=yes ft-over-ds=yes` auf sec-main
+#      (2026-09-14 zurueckgesetzt, s. docs/transaktionen/TP25-ft-yes-secmain.commands.rsc
+#      und handoff-20260914-tp25-ap2-insitu-terrassse.md): Roams laufen als nahtlose
+#      FT-Transition statt Voll-Reassoziation. Das Band-Springen selbst endet erst
+#      mit dem Deckungsfix (TP25 Variante 3). Siehe teilprojekte.md TP25 (Stand 09-14).
 
 # Kanonischer Mgmt-Nummernplan (User-Bestaetigung 2026-08-13, verbindlich):
 #   core .99.1 | branch .99.2 | ap1 .99.11 | ap2 .99.12