Initial import from bf-network-r6.opencode — opencode migration

docs/vlan-plan.md

@@ -0,0 +1,44 @@
+# BF — VLAN- & Adressplan (final, 2026-06-06)
+
+## VLAN-Modell
+| VLAN | Name | Subnetz (Ziel) | Interim | Zweck |
+|---|---|---|---|---|
+| 10 | **MAIN** | 10.40.10.0/24 | **vorerst 10.40.41.0/24** | Trusted-Clients + Media (Sonos/AppleTV/TV/SAT/Drucker) |
+| 20 | **INFRA** | 10.40.20.0/24 | **vorerst vorhandene 172.x** | Server, VMs, Docker, NAS-Workloads, HA |
+| 30 | **IOT** | 10.40.30.0/24 | — | Smart-Home (HA-managed) |
+| 40 | **UNTRUSTED** | 10.40.40.0/24 | — | Spielekonsole & Low-Trust-Internet |
+| 90 | **GUEST** | 10.40.90.0/24 | — | nur Internet (abgesetzt; 50–89 frei für künftige VLANs) |
+| 99 | **MGMT** | 10.40.99.0/24 | Switch vorerst 10.40.41.239 | Switch/AP/Hypervisor-Mgmt-Interfaces |
+| 100 | **WAN** | (FB-Transfer) | — | zur Fritzbox |
+
+**Konventionen:** Gateway je VLAN = `.1` (hAP#1). Switch-Mgmt = `10.40.99.2`. 3. Oktet = VLAN-ID (Mnemonik). Alles RFC1918 (10/8).
+
+## Firewall — Least-Privilege (nicht „Main→alle")
+- Default **deny** inter-VLAN, dann gezielt erlauben.
+- **Main → Infra:** nur Whitelist-Dienste (NAS-Shares, HA-UI, Proxmox-UI auf definierten Ports). Kein Vollzugriff.
+- **Infra → Main:** grundsätzlich deny (Ausnahmen: Backups/Notifications gezielt).
+- **IoT / Guest / Untrusted → intern:** deny — nur Internet.
+- **Mgmt (99):** aus Main nicht erreichbar; nur dedizierter Admin-Zugang.
+
+## Discovery / Usability (Sonos & Co.)
+- mDNS/SSDP queren VLANs **nicht** von allein → discovery-abhängige Media-Geräte (Sonos, AppleTV, AirPrint, TV/SAT)
+  liegen bewusst **auf MAIN** mit den steuernden Handys → funktioniert ohne Reflector.
+- Nicht-Discovery-Zugriff (NAS-UI, HA-Web) aus Main: per Firewall-Regel + DNS/Hostname, kein mDNS nötig.
+- Most-IoT-Steuerung läuft eh **Handy → HA → IoT** → IoT (30) kann hart dichtgemacht werden.
+
+## Geräte-Einordnung
+| Gerät | VLAN |
+|---|---|
+| Handy, Laptop (du) | 10 MAIN |
+| Sonos, AppleTV, Smart-TV, SAT-Receiver, Drucker | 10 MAIN (Discovery) |
+| Sensoren/Plugs/Kameras/Smart-Home | 30 IOT |
+| Spielekonsole | 40 UNTRUSTED |
+| NAS, Proxmox-VMs, Docker, HA | 20 INFRA |
+| Netz-Mgmt (sw1, hAPs, Hypervisor-Mgmt) | 99 MGMT |
+
+## Migrations-Notizen
+- **MAIN-Re-IP** 10.40.41 → 10.40.10: groß (DHCP/Statics/Referenzen) → später, geplant.
+- **INFRA**: erst vorhandene 172er weiterfahren, dann behutsam auf 10.40.20.0/24.
+- **NAS .10**: bleibt vorerst auf 10.40.41.10/MAIN; Umzug nach INFRA später.
+- **VPNchristoph**: muss von `.1` weg (wird Gateway); IP egal.
+- **Switch-Mgmt**: heute 10.40.41.239; nach Cutover → vlan99 / 10.40.99.2 (`management-vlan vlan 99` + `ip address`).