TP10 🅿️ vertagt: gebündelt mit FB-Bridge-Cutover, ap1-Hub geparkt

Entscheidung: TP10 nicht mehr als Parallel-Migration vorab, sondern zusammen
mit dem permanenten FB-Bridge-Cutover. Grund: VPN-auf-FB und FB-Bridge
schließen sich aus (Bridge = Modem = keine VPN-Terminierung) -> Migration muss
am Bridge-Tag passieren; dann hat ap1 die echte Public-IP -> kein
Port-Forward-Umweg, Spokes zeigen direkt auf ap1/DDNS. FM-PoC hat den
WG-Spoke-Fix bewiesen (de-risked).

Park-Zustand ap1: Peers disabled, WG-Routen entfernt (FM/DW wieder über die FB),
wg-hub bleibt (Key erhalten), Firewall bleibt (TP5-Vorarbeit). Beide VPN vorerst
über die FB: FM=IPsec, DW=FB-WG. Resume = Bridge-Tag (Klickanleitung,
FB-LAN-IP als Interface-Address).

Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>

docs/teilprojekte.md

@@ -102,9 +102,16 @@ Kontrolle: MikroMCP (MikroTik) live · ALLNET = Klickanleitungen · Omada → Co
 - ⚠️ **Vor „Erfolg":** A/B-Test, denn Kollegen-Befund sagt DE-Calls = **internat. Pfad AT↔DE**, nicht Heimnetz → ggf. **WARP** statt/zusätzlich CAKE. Nicht am einen Telefonat festmachen.
 - Abh.: TP4.
 
-### TP7 — Media-Discovery (mDNS) für VLAN 40
-- **Built-in mDNS-Repeater** (7.16+) MAIN↔MEDIA; Cast/SSDP optional via <10MB-Container. Firewall-Holes (TP5).
-- Abh.: TP4, TP5.
+### TP7 — Media-Discovery (mDNS) für VLAN 40 ▸ ✅ Kern FERTIG (2026-06-17) — `docs/tp7-mdns.md`
+- ✅ **Built-in mDNS-Repeater** aktiv: `/ip/dns set mdns-repeat-ifaces=vlan10,vlan40` (RouterOS 7.23.1). MAIN↔MEDIA.
+  Reversibel (Feld leeren). Realbestand: MAIN=MacBook, MEDIA=2× SonosZP `.199/.200`.
+- 💡 **TP5-Abhängigkeit entschärft:** Repeater re-originiert mDNS vom Router (input→output), **kein** Client-`forward`
+  → Deny-by-default blockt die Discovery nicht. TP5 muss nur (a) MAIN↔MEDIA-Nutzdaten-`forward` erlauben (ohnehin
+  geplant) und (b) beim Input-Härten **UDP 5353 von vlan10/vlan40 an den Router offenlassen**.
+- ⏳ **Funktionaler Test ausstehend:** Sonos-App/AirPlay auf MAIN-Client → Sonos müssen erscheinen.
+- **SSDP/Cast** (UDP 1900) deferred: nur mDNS nativ; SSDP bräuchte Reflector-Container auf NAS/pve (nicht am hAP).
+  Für Sonos/AirPlay (mDNS) nicht nötig. **IOT** bewusst nicht im Repeater (Scope=MAIN↔MEDIA).
+- Abh.: TP4 ✅. TP5 = Folge-Anschluss (Firewall-Holes), nicht blockierend für den Kern.
 
 ### TP8 — Identity & Access-Control ▸ research-gated
 - **RADIUS = FreeRADIUS auf der NAS** (✏️ User-Manager v5 kann **KEIN LDAP** → openldap nur via FreeRADIUS anbindbar).
@@ -173,5 +180,6 @@ Kontrolle: MikroMCP (MikroTik) live · ALLNET = Klickanleitungen · Omada → Co
 1. ~~**Jetzt:** TP1 (GE8) → TP2 (Omada Controller).~~ ✅ erledigt 2026-06-15.
 2. ~~**TP4 (Router-Cutover L3-Infra).**~~ ✅ erledigt 2026-06-15. FB-Bridge-Mode noch offen (physisch).
 3. **Jetzt: Omada-PVID-Fix** — Omada Access-Profile korrigieren (PVID 10/20, untagNetworkIds bereinigen, sicher P3/P5/P6 zuerst), dann IP-Migration NAS/macmini/pve auf VLAN-Subnetze + DNS-Einträge updaten.
-4. **Dann:** TP5 (Firewall/Deny-by-default) → TP6 (QoS/CAKE) → TP7 (mDNS) → TP3 (WLAN/CAPsMAN).
+4. **Dann:** TP5 (Firewall/Deny-by-default) → TP6 (QoS/CAKE) → ~~TP7 (mDNS)~~ ✅ vorgezogen 2026-06-17 → TP3 (WLAN/CAPsMAN).
+   ⚠️ TP5 muss die TP7-Firewall-Holes mitnehmen (s. TP7: MAIN↔MEDIA-forward + UDP 5353 input).
 5. **Nachgelagert/Research-getrieben:** TP8 (Access), TP9 (HA), TP10 (VPN), TP11 (Monitoring), TP12 (IPv6), TP13 (Spaß).