AP4.1 🧪 Offline-WAN-Cutover-Test für ap1 — scheduler-frei, Disk-Log

Toolkit, um den FB-Bridge/Passthrough-Cutover (Liwest) autonom auf ap1 zu
testen, während Claude/MikroMCP offline ist (Test-Client auf install-wifi,
LAN4-Umstecken kappt den Live-Pfad).

- wan-cutover-test.rsc: wantest-probe (schichtweise Diagnose: ether1-IP,
  default-gw, WAN-Reach via :resolve@1.1.1.1, DoH end-to-end) + wantest-run
  (blockierender Loop, Hintergrund-fähig). Persistentes Disk-Logging nach
  wan-test.0.txt.
- wan-macclone-test.rsc: CM-MAC-Clone (0C:72:74:36:90:99) mit eingebautem
  Auto-Revert (~90s), scheduler-frei.
- wan-cutover-runbook.md: Solo-Runbook für den User (Console altes WiFi →
  10.40.41.1).

Scheduler-frei, weil device-mode=home auf ap1 /system scheduler und /tool
fetch blockiert. Reachability via :resolve statt ping ([/ping] gibt in
7.23 nil; ICMP hier geblockt). Public-IP 86.56.201.104 bereits bewiesen
(kein Liwest-MAC-Lock).

Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>

routeros/wan-cutover-runbook.md

@@ -0,0 +1,71 @@
+# WAN-Cutover Runbook (Solo, ohne Claude live)
+
+Ziel: FB-LAN4 auf Passthrough/Bridge umstellen, sodass **ap1 ether1** die echte Liwest-Public-IP
+zieht (Single-NAT statt Double-NAT). Der Testmechanismus läuft **autonom auf ap1** und loggt persistent
+— du brauchst Claude während des Cutovers nicht.
+
+**Dein Console-Pfad:** altes WiFi → `10.40.41.1` (WebFig → New Terminal). Läuft über ap1 **ether2**
+(ALLNET-Uplink) und übersteht den Cutover an ether1/FB-LAN4.
+
+> ⚠️ **device-mode=home** blockiert auf ap1 Scheduler *und* `/tool fetch`. Deshalb arbeitet der
+> Mechanismus **ohne Scheduler**: `wantest-run` ist ein blockierendes Loop-Script, das im Hintergrund
+> weiterläuft (auch wenn deine Session abreißt). Der MAC-Auto-Revert ist fest in den Clone-Lauf eingebaut.
+
+---
+
+## Schritt 0 — Vorbereitung (mit Claude online schon erledigt)
+- Scripts auf ap1 installiert: `wantest-probe`, `wantest-run`, `wanmac-clone`, `wanmac-revert`.
+- Disk-Logging aktiv → Ergebnisse in `wan-test.0.txt` **und** live im `/log`.
+- FB-WAN-MAC für den Clone-Lauf: **`0C:72:74:36:90:99`** (CM-MAC, als Default hinterlegt).
+
+## Schritt 1 — Auto-Capture starten
+WebFig-Terminal auf `10.40.41.1`:
+```
+:global WTN 40                      # optional: 40 Proben (~10 min). Default ohne = 24 (~6 min)
+/system script run wantest-run
+```
+→ probt alle 15 s und loggt jede Schicht. Läuft im Hintergrund. (Terminal blockiert während des Laufs;
+einfach ein zweites WebFig-Fenster für den Log öffnen.)
+
+## Schritt 2 — FritzBox umstellen + Kabel
+- FB-UI → LAN4 auf Passthrough/IP-Client (Klickanleitung im Chat / `docs/`).
+- ether1 von ap1 an den FB-Passthrough-Port. **ether2 (Uplink) bleibt stecken!**
+
+## Schritt 3 — Live mitlesen
+```
+/log print where message~"WANTEST"
+```
+Schichten interpretieren:
+- `ether1 ... addr=86.x.x.x` → externe IP gezogen ✓ (Bridge greift)
+- `wan-reach via-1.1.1.1 ok ...` → **Routing+NAT zur Public-IP ok** (ohne DNS-Abhängigkeit)
+- `wan-reach ... FAIL` → Routing/NAT kaputt → „nach .1 nichts" = WAN-seitig
+- `dns-doh ok ...` → DoH-Namensauflösung ok (das, was Clients als DNS nutzen)
+- `dns-doh FAIL` → DoH/Bootstrap kaputt → „nach .1 nichts" = **DNS** (Client erreicht .1, aber nichts per Name)
+
+## Schritt 4 — MAC-Clone testen (optional, ~90 s, selbst-revertierend)
+Erst wenn Baseline extern steht:
+```
+/system script run wanmac-clone
+```
+→ setzt CM-MAC `0C:72:74:36:90:99`, release/renew, 4 Proben, dann **garantierter Auto-Revert** auf
+Werks-MAC (alles in einem Lauf). Vergleiche im Log IP/Schichten mit FB-MAC vs. Baseline.
+Not-Revert sofort: `/system script run wanmac-revert`.
+
+## Schritt 5 — Abschluss
+- `wantest-run` endet von selbst nach WTN Proben (Log: „WANTEST run done").
+- Früher stoppen: `/system script job print` → `/system script job remove [find script=wantest-run]`.
+- Dann Claude wieder online holen → Claude liest `wan-test.0.txt` und bestimmt die Root-Cause.
+
+---
+
+## Sicherheitsnetze (eingebaut)
+- **Fallback-Route:** statische Default-Route via bridge (distance=2) bleibt — fällt ether1 aus,
+  geht Internet automatisch wieder über die FB (Double-NAT). Kein Totalausfall.
+- **MAC-Auto-Revert:** im Clone-Lauf fest eingebaut (~90 s), läuft im Hintergrund garantiert zu Ende.
+- **Console bleibt:** `10.40.41.1` via ether2/altes WiFi ist vom Cutover unabhängig erreichbar.
+
+## Notfall
+- ether1 zieht keine externe IP / kein Internet: `/system script run wanmac-revert`, dann FB-LAN4
+  zurück auf normal — Fallback-Route hält das LAN online.
+- ap1 nicht erreichbar: ether2-Kabel prüfen (Uplink zu ALLNET), NICHT ether1.
+- Hängendes Script killen: `/system script job print` → `/system script job remove <id>`.