Initial import from bf-network-r6.opencode — opencode migration

routeros/README.md

@@ -0,0 +1,54 @@
+# hAP ax² Setup — CAPsMAN + VLAN (Design & Plan, REVIEW vor Apply)
+
+Stand: beide auf RouterOS **7.23.1** + RouterBOOT 7.23.1. Namen/IPs gesetzt:
+**ap1 = 10.40.41.1** (künftiges Gateway/Router) · **ap2 = 10.40.41.2** (CAP). Default-Bridge (ether2–5+wifi, vlan-filtering aus).
+
+> ⚠️ **Status: NUR PLAN.** An den Geräten bisher nur: Firmware 7.23.1, Identity ap1/ap2, Stray-IP weg, **Mgmt-IP→.1/.2**.
+> Exakte 7.23-Syntax (wifi/capsman/provisioning/scheduler) wird **vor Apply gegen das Gerät validiert**.
+
+## Hardware-Realität
+- **WiFi 6 (ax)**, dual-band 2,4+5 GHz. **MLO ist NICHT verfügbar** (MLO = WiFi 7/802.11be → bräuchte hAP be³). „MLO wenn möglich" entfällt.
+
+## Rollen
+- **ap1 = CAPsMAN-Manager + AP** (später zusätzlich **Router** — L3/DHCP/DNS/NAT/CAKE = **separater Cutover**, NICHT hier).
+- **ap2 = CAP** (zieht Wireless-Config von ap1 @ 10.40.41.1).
+
+## ⚠️ Topologie / Verkabelung (Klärungsbedarf)
+- **ap1** → **Core-Switch Port 2** (direkt). ✓ Guter Trunk-Kandidat.
+- **ap2** → hinter **TP-Link TL-SG108E** → Core-Switch **Port 8**. Damit ap2 die VLANs **getaggt** bekommt, müsste **auch der TP-Link trunken** (kann 802.1Q, aber fummelige UI). **Empfehlung:** ap2 im Wartungsfenster **direkt an einen freien Core-Port** (z.B. Port 3) → sauberer Trunk, keine TP-Link-VLAN-Config.
+- **ether1 = WAN — Achtung:** Für **ap1 (Router)** ist ether1 = **WAN zur FB** (Internet); der **LAN-Trunk** zum Core bleibt **ether2** → ap1 braucht **2 Kabel**. Für **ap2 (reiner AP)** gibt es kein WAN; **ein** Uplink (Trunk) genügt. → Den LAN-Trunk auf ether1 zu legen wäre für den Router falsch. **Finale Verkabelung bitte bestätigen.**
+
+## Bridge-VLAN-Layout (beide APs)
+- **Uplink ether2 = Trunk:** tagged `10,20,30,40,90,99,100` **+ native/untagged vlan1** (= aktuelles Mgmt-Netz, .1/.2).
+- **Mgmt bleibt erreichbar** (untagged vlan1), solange der Switch-Port native vlan1 untagged bleibt.
+- `vlan-filtering=yes` zuletzt — mit **Auto-Rollback** (5 min) gegen Lockout.
+
+## WLAN (SSID → VLAN via CAPsMAN-Datapath)
+| SSID | VLAN | Security |
+|---|---|---|
+| `BF-Main` | 10 (MAIN) | **WPA3-only** |
+| `BF-IoT` | 30 (IOT) | WPA2/WPA3-PSK |
+| `BF-Guest` | 90 (GUEST) | WPA2/WPA3-PSK |
+Beide Bänder (2,4+5 GHz ax). **Temp-Passphrase** (Platzhalter `BFtest-2026-tmp`) — User setzt echte in Ruhe.
+
+> VLAN-SSIDs bekommen erst **nach dem Router-Cutover** DHCP/Gateway. Sofort-Test optional via Temp-SSID auf **native vlan1** (FB-DHCP).
+
+## Apply-Reihenfolge (wenn freigegeben)
+1. **Switch:** AP-Uplink-Port(s) → Trunk (tagged 10,20,30,40,90,99,100 + native vlan1). [ap2 erst sinnvoll, wenn direkt am Core ODER TP-Link trunkt]
+2. **ap1:** Bridge-VLAN → CAPsMAN-Manager → (Auto-Rollback) vlan-filtering=yes.
+3. **ap2:** Bridge-VLAN → CAP enable (manager=10.40.41.1).
+4. Verifizieren: ap2 im Manager; SSIDs auf beiden Radios; Mgmt erreichbar. Rollback canceln.
+
+## Safety — Auto-Rollback
+```
+/system scheduler add name=vlan-rollback interval=5m \
+  on-event="/interface bridge set [find name=bridge] vlan-filtering=no; /system scheduler remove vlan-rollback"
+```
+
+## Offene Punkte (User)
+- Finale Verkabelung bestätigen (ap1: ether1→FB-WAN, ether2→Core-Trunk; ap2: direkt an Core vs. TP-Link trunken).
+- Switch-Mgmt-IP: `.3` oder `.239` (da `.2` jetzt = ap2).
+- Echte WLAN-Passphrasen (später).
+
+## Dateien
+- `routeros/ap1-manager.rsc` · `routeros/ap2-cap.rsc`