TP25: Drift-Luecke geschlossen (72/72) — und zwei fehlende Compliance-Sektionen aufgedeckt

Die neuen Funkparameter stehen jetzt in der SoT, nicht nur auf dem Geraet:
radios[5g].width 20/40/80mhz -> 20/40mhz, DEVICE_CHANNELS[ap2][5g] 149 -> 44.
Config-Context gepatcht, dann Backup -> Intended -> Compliance: 72/72, keine
Drifts. Ein kuenftiger Deploy kann die Fixes damit nicht zurueckdrehen.

Bemerkenswert: width fuer 2,4 GHz stand im Config-Context die ganze Zeit
korrekt auf 20mhz. Die SoT war richtig, das Geraet hat sie nicht befolgt —
der Beweis, dass das Problem der Inline-Override war und nicht die Datenlage.

Beim Nachpruefen, ob "72/72" die Funkparameter ueberhaupt abdeckt, sind zwei
Luecken aufgefallen (18 Compliance-Rules abgefragt):

- /interface wifi (Interface-Sektion) hat KEINE Rule. Die fuenf wifi-*-Features
  decken nur die Profilobjekte ab. Die Inline-Overrides leben in der
  Interface-Sektion — deshalb blieben Fund A und D seit 2026-08-08 unentdeckt,
  waehrend die Flotte durchgehend "compliant" meldete.

- /ip firewall filter hat KEINE Rule, es gibt nur ip-firewall-nat. Die
  TP5-Zeile "laeuft ueber ip-firewall-*-Features aus TP22" war damit
  irreführend. Die 11 Etappe-2-Regeln und der kommende Deny-by-default sind
  nicht drift-ueberwacht; "72/72" sagt ueber die Firewall nichts aus.
  -> als Vorbedingung fuer TP5 Etappe 3 eingetragen.

Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>

nautobot/ingest-ap-configcontext.py

@@ -55,7 +55,11 @@ AP_COMMON = {
         "native_vlan": 1,
         # Liste (nicht Dict): Reihenfolge ist garantiert und diffbar.
         "radios": [
-            {"key": "5g", "iface": "wifi1", "band": "5ghz-ax", "width": "20/40/80mhz", "prefix": "w5"},
+            # TP25 (2026-08-17): 80 -> 40 MHz. Im ETSI-Indoor-Band (5180-5240) gibt es nur
+            # EINEN 80-MHz-Block (ch36-48) - zwei APs koennen dort nicht beide 80 MHz fahren,
+            # ohne sich zu ueberlappen. Genau daran war ap2 auf ch149 (Band C) gelandet und
+            # sendete dort mit 9 statt 18 dBm. Mit 40 MHz passen beide ins Indoor-Band.
+            {"key": "5g", "iface": "wifi1", "band": "5ghz-ax", "width": "20/40mhz", "prefix": "w5"},
             {"key": "2g", "iface": "wifi2", "band": "2ghz-ax", "width": "20mhz", "prefix": "w2"},
         ],
         # main laeuft auf den MASTER-Radios (2 configurations mit channel=),
@@ -83,8 +87,12 @@ AP_COMMON = {
 #   ap1 ch36 -> 5180, ch1  -> 2412
 #   ap2 ch149-> 5745, ch11 -> 2462
 DEVICE_CHANNELS = {
+    # 5 GHz mit 40 MHz: ap1 ch36 belegt 5170-5210 (36+40), ap2 ch44 belegt 5210-5250
+    # (44+48) -> benachbart, ueberlappungsfrei, beide mit /I-Indoor-Freigabe und 18 dBm.
+    # ap2 war bis 2026-08-17 auf ch149 (5745, ETSI-Band C) und dort auf 9 dBm gedrosselt.
+    # 2,4 GHz: ch1/ch11 mit 20 MHz -> ueberlappungsfrei, ch6 bleibt fuer die Nachbarschaft frei.
     "ap1": {"5g": 36, "2g": 1},
-    "ap2": {"5g": 149, "2g": 11},
+    "ap2": {"5g": 44, "2g": 11},
 }
 
 CTX_NAME = "ap-common"