Initial import from bf-network-r6.opencode — opencode migration

routeros/tp3.1-ap2-vlan.rsc

@@ -0,0 +1,33 @@
+# TP3.1 — ap2 VLAN-Trunk-Fix (As-built, 2026-07-01)
+# Kontext: ap2 (CAP, local forwarding) hatte bridge vlan-filtering=no → datapath.vlan-id
+# wurde nie auf die Leitung geschrieben → ALLE WLAN-Clients (main/media/iot/…) egressten
+# ungetaggt in VLAN1 (defconf/10.40.41.x). Fix: ap2-Bridge VLAN-scharf machen wie ap1.
+#
+# WICHTIG (Lockout): ap2-Mgmt (10.40.41.2) liegt untagged auf VLAN1 über die Bridge; MCP/SSH
+# läuft darüber. VLAN1 MUSS untagged=bridge,ether2 bleiben. Reihenfolge: erst Tabelle, dann Flip.
+# Kein Scheduler auf ap2 (device-mode=home) → kein Auto-Revert; Recovery = Power-Cycle im OG.
+#
+# Diese Datei ist ap2-LOKAL (nicht CAPsMAN-verwaltet). Auf ap2 ausführen.
+# Die master-Radios wifi1(5G)/wifi2(2.4G) tragen alle Client-VLANs getaggt; die Slave-VAPs
+# (media/iot/untrusted/guest) forwarden über ihren Master → nur wifi1/wifi2 müssen tagged-Member sein.
+#   wifi1 (5G): main10 + media40 + untrusted50 + guest90
+#   wifi2 (2.4G): main10 + iot30 + media40 + untrusted50 + guest90
+
+/interface bridge vlan
+add bridge=bridge vlan-ids=1  untagged=bridge,ether2
+add bridge=bridge vlan-ids=10 tagged=ether2,wifi1,wifi2
+add bridge=bridge vlan-ids=30 tagged=ether2,wifi2
+add bridge=bridge vlan-ids=40 tagged=ether2,wifi1,wifi2
+add bridge=bridge vlan-ids=50 tagged=ether2,wifi1,wifi2
+add bridge=bridge vlan-ids=90 tagged=ether2,wifi1,wifi2
+
+# Flip als LETZTER Schritt:
+/interface bridge set [find name=bridge] vlan-filtering=yes
+
+# Danach auf ap1 einmalig re-provisionieren, damit der CAP sauber neu bindet:
+#   /interface wifi capsman remote-cap provision [find identity=ap2]
+#
+# Verifikation:
+#   /interface bridge vlan print detail   → current-tagged je VLAN = ether2,wifi1(,wifi2)
+#   OG-Client-Test: Handy auf dirtyvader-main im OG → auf ap1 muss der Lease server=dhcp-v10
+#   (10.40.10.x) sein, NICHT defconf/10.40.41.x.