NTP: Wurzel war der Core selbst, plus eine fehlende Compliance-Rule

Der Core hatte keinen eigenen NTP-Client bei use-local-clock=no. Ein Server
ohne Synchronisation liefert Stratum 16, das jeder Client verwirft -- die
Anfragen kamen an und wurden trotzdem nicht brauchbar beantwortet. Der
Standort hatte an keiner Stelle eine funktionierende Zeitsynchronisation.

Notiert ist auch, dass /system ntp gar keine Compliance-Rule hat -- derselbe
blinde Fleck, den TP26 fuer /ip firewall filter geschlossen hat.

Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>

docs/teilprojekte.md

@@ -687,6 +687,21 @@ FT kaschierte das bisher als „Roaming" statt „schwache Abdeckung".
   (`routeros/tp19-ntp-core-als-zeitquelle.rsc`, inkl. der noetigen `input`-Regel — ohne die waere der
   Server seit Etappe 4 eingeschaltet und trotzdem unerreichbar gewesen), branch ist Client
   (`routeros/tp19-ntp-branch-client.rsc`).
+  - 🔎 **Die Wurzel lag eine Ebene tiefer:** auch der Core hatte **keinen** NTP-Client
+    (`enabled: no`, keine Server) bei `use-local-clock: no`. Ein Server ohne eigene Synchronisation
+    liefert Stratum 16, das jeder Client verwirft — die Anfragen kamen also an (die Firewall-Regel
+    zaehlte) und wurden trotzdem nicht brauchbar beantwortet. Der Standort hatte damit **an keiner
+    Stelle** eine funktionierende Zeitsynchronisation; dass drei von vier Uhren stimmten, war
+    Restglueck vom letzten manuellen Stellen. Behoben mit `routeros/tp19-ntp-core-client.rsc`
+    (`time.cloudflare.com,at.pool.ntp.org`) → Core `synchronized`.
+  - ⏳ **Rest:** ap1/ap2/branch stehen weiterhin auf `status=waiting`, obwohl der Core jetzt eine
+    gueltige Quelle ist. ap2s Uhr wurde einmalig von Hand gestellt (17 h Versatz liegt ueber der
+    NTP-Panic-Schwelle, so weit springt ein Client nicht von selbst) — **alle vier Uhren stimmen
+    jetzt**, das Einrasten der Clients ist nachzukontrollieren.
+  - ⚠️ **Governance-Luecke, die dabei auffiel: `/system ntp` hat GAR KEINE Compliance-Rule.**
+    Die NTP-Konfiguration ist nicht drift-ueberwacht — exakt der Zustand, den **TP26** fuer
+    `/ip firewall filter` behoben hat. Gehoert nachgezogen, sonst faellt die naechste stille
+    Aenderung wieder erst ueber falsche Zeitstempel auf.
 - ✅ **Live-Nachprüfung 2026-08-16 (MikroMCP + CF-API, reine Reads):**
   - **`cudy1` ist tot, nicht nur „offline gemeldet":** `core ether11` steht auf `running=false`, **letzter Link-Down 2026-08-08 19:33**, seither kein Link. Die Formulierung „aktiver VLAN1-Leak" ist damit endgültig hinfällig — der **Dual-DHCP-Race hat keine Quelle mehr**. Offen bleibt nur der *physische* Ausbau + Inventar/Doku.
   - **`crs326-core` hat keine VLAN1-IP mehr:** `/ip/address` listet nur noch die 7 SVIs + die WAN-DHCP-Adresse — die **Bring-up-Altlast `10.40.41.211` ist weg**. Damit fällt einer der 5 Compliance-Drifts aus TP22 raus, *sobald* wieder **Backup → Intended → Compliance** gelaufen ist (die Compliance vergleicht gegen das letzte Backup, nicht gegen das Gerät — s. TP22-Falle).