Initial import from bf-network-r6.opencode — opencode migration

routeros/tp19-ntp-core-als-zeitquelle.rsc

@@ -0,0 +1,34 @@
+# NTP: den Core zur Zeitquelle des Standorts machen.
+#
+# BEFUND (2026-08-18, beim TP19-Abschluss gefunden):
+#   ap1    ntp client -> 10.40.99.1, status=waiting, Uhr zufaellig noch richtig
+#   ap2    ntp client -> 10.40.99.1, status=waiting, Uhr **17 Stunden nach**
+#   branch ntp client -> gar keiner, status=stopped
+#   core   /system ntp server = enabled:no
+# Alle drei fragen also einen Zeitserver, den es nicht gibt ("waiting" heisst
+# genau das). ap2 ist nur der erste, der sichtbar weggelaufen ist — die anderen
+# folgen.
+#
+# WARUM DAS MEHR ALS KOSMETIK IST: Geraete-Logs sind das Hauptwerkzeug in diesem
+# Projekt (TP5 lebt vom Kollektor). Beim Pfadbeweis heute nacht hat ap2 einen
+# Logeintrag von 04:57 als "2026-08-17 12:19" gestempelt — eine Korrelation
+# ueber mehrere Geraete ist damit wertlos.
+#
+# WEG: der Core hat als einziger eine verlaessliche Zeit (WAN + DoH). Er wird
+# Server, die drei anderen bleiben/werden Clients auf 10.40.99.1. Kein Geraet
+# braucht dafuer Internet.
+#
+# ⚠️ Die input-Regel ist Pflicht: seit Etappe 4 endet `input` mit einem Drop.
+# Ohne sie waere der NTP-Server eingeschaltet und trotzdem unerreichbar —
+# derselbe stille Fehlschlag wie bisher, nur eine Ebene tiefer.
+#
+# Push:  python3 nautobot/gc-manual-plan.py --device crs326-core \
+#            --commands-file routeros/tp19-ntp-core-als-zeitquelle.rsc \
+#            --change-id TP19-NTP --deploy \
+#            --assert '/system/ntp/server|enabled=true'
+# ---------------------------------------------------------------------------
+
+:do { /system ntp server set enabled=yes } on-error={ :log info "tp19ntp: 01 server warf" }
+:do { :if ([:len [/ip firewall filter find comment="TP5-E4: ntp"]] = 0) do={ /ip firewall filter add chain=input action=accept in-interface-list=LAN protocol=udp dst-port=123 comment="TP5-E4: ntp" place-before=[/ip firewall filter find comment="TP5: input log-only"] } } on-error={ :log info "tp19ntp: 02 fw warf" }
+
+:log info ("tp19ntp: ENDE server-enabled=" . [:tostr [/system ntp server get enabled]] . " fw-regel=" . [:tostr [:len [/ip firewall filter find comment="TP5-E4: ntp"]]])