TP10 🎯 Root Cause FM-NAT gefunden: FB braucht LAN-IP als WG-Address (Proxy-ARP)

Echt-Host-Test (Ping realer 10.101.0.10 über WG) -> Antwort aus 10.255.255.2
=> FB masqueradet den Tunnel, bestätigt. Ursache: .conf nutzte Transfernetz-
Adresse (10.255.255.2/32) -> FRITZ!OS = Einzelgerät-Modus = NAT. AVM nutzt
Proxy-ARP statt Transfernetz -> FB-WG-Interface-Address muss die FB-LAN-IP sein
(FM 10.101.0.254/24, DW 192.168.178.1/24), Transfernetz streichen, AllowedIPs
10.40.0.0/16. -> WG-Spoke-Ansatz damit machbar.

- fritzbox-wg-lanlan-klickanleitung.md: Root Cause + One-Field-Fix (LAN-IP als
  Address), LAN-LAN-Wizard, Verify gegen 10.101.0.10.
- teilprojekte.md / tp10-vpn-migration.md: Status "Root Cause gefunden, machbar".

Korrigierte Spoke-Configs in routeros/.secrets/wg-{fm,dw}.conf (gitignored).
FM bleibt auf IPsec (Sicherheitsnetz); ap1-WG-Hub inert.

Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>

docs/teilprojekte.md

@@ -123,14 +123,16 @@ Kontrolle: MikroMCP (MikroTik) live · ALLNET = Klickanleitungen · Omada → Co
   Routen + Firewall (input/forward) gesetzt; NAT braucht nichts (Egress wg-hub ≠ masq-Interface). Hub-Pub
   `P/bztIk13cAmLHbN6oHGGnWAKLZsqR5TXAbFP+NGGBk=`, Endpoint `xvbeo64jqlqd9gfo.myfritz.net:51821`.
   Spoke-Configs in `routeros/.secrets/wg-{fm,dw}.conf` (Private-Keys, nicht im Git). FB-Portfreigabe 51821→ap1 gesetzt.
-- **⛔ Phase-B-Versuch FM gescheitert → revertiert (2026-06-16):** `.conf` importiert, Handshake grün, IPsec
-  voreilig deaktiviert → FM-LAN nicht erreichbar. **Befund:** WG-Tunnel routet (rx/tx fließen), aber Test war nur
-  Ping auf FB-eigene `.254` (antwortet aus Tunnel-IP `10.255.255.2` → OS verwirft) — **echte LAN-Hosts nie getestet**.
-  → **NAT-These unbewiesen.** Research (Bouni) bestätigt FB↔MikroTik-LAN-LAN **ohne NAT** ist machbar. User hat
-  **FM auf IPsec zurückgestellt** (FB-WG aus). ap1-WG-Hub/Peers bleiben (inert).
-- **⏳ Resume:** Klickanleitung `routeros/fritzbox-wg-lanlan-klickanleitung.md` — **Echt-Host-Test zuerst**
-  (realer `10.101.0.X`, nicht `.254`), FB-WG als LAN-LAN/AllowedIPs `10.40.0.0/16` prüfen, ap1-Route `10.255.255.0/24→wg-hub`,
-  IPsec erst nach grünem Verify abschalten. **Port 51821** hält FB-51820-WG (DW) intakt.
+- **⛔→💡 Phase-B-Versuch FM gescheitert, ROOT CAUSE gefunden (2026-06-16):** `.conf` importiert, IPsec voreilig
+  aus → FM weg, revertiert. **Echt-Host-Test (WG reaktiviert):** Ping realer Host `10.101.0.10` → Antwort aus
+  `10.255.255.2` → **FB-NAT bestätigt.** **Ursache:** unsere `.conf` nutzte eine **Transfernetz-Adresse**
+  (`10.255.255.2/32`) → FRITZ!OS behandelt das als Einzelgerät → masqueradet. **AVM nutzt Proxy-ARP, KEIN
+  Transfernetz** → FB-WG-Interface-`Address` muss die **FB-LAN-IP** sein (FM `10.101.0.254/24`, DW `192.168.178.1/24`),
+  Transfernetz streichen, AllowedIPs `10.40.0.0/16`. **→ Ansatz machbar.** Configs `routeros/.secrets/wg-{fm,dw}.conf`
+  korrigiert. FM aktuell auf **IPsec** (Sicherheitsnetz); ap1-WG-Hub bleibt (inert).
+- **⏳ Resume:** Klickanleitung `routeros/fritzbox-wg-lanlan-klickanleitung.md` — FB-WG als **LAN-LAN mit FB-LAN-IP als
+  Interface-Adresse** neu anlegen, Echt-Host-Test gegen `10.101.0.10`, IPsec erst nach grünem Verify abschalten.
+  **Port 51821** hält FB-51820-WG (DW) intakt.
 - **Empfehlung:** **Hybrid** — **WireGuard Site-to-Site-Backbone** (BF/hAP = WG-**Hub**, FM/DW = FritzBox-**Spokes**, hub&spoke, **KEINE Zusatz-HW**) **+ WARP für Remote-User** (ergänzt, ersetzt nicht).
 - **WARP kann FBs NICHT direkt** ansprechen → bräuchte Connector-Host hinter der FB (an reinen-FB-Standorten FM/DW unattraktiv).
 - **Vorab-Check (User, entscheidend):** WAN je Standort — **public/dynamisch (OK: DynDNS/MyFRITZ) vs. CGNAT/DS-Lite am BF-Hub (= K.O. → dann CF/WARP-Pfad, CGNAT-immun)**.

docs/tp10-vpn-migration.md

@@ -4,13 +4,14 @@
 > gated: permanenter FB-Bridge-Mode (AP4.1) hängt an diesem TP.
 > **Reihenfolge fix: VPNs migrieren → Liwest-Anruf (Bridge) → FB wird Modem.**
 
-> ## ⏸ STATUS 2026-06-16: PAUSIERT — FM auf IPsec zurück
-> Phase-A-Hub auf ap1 steht (s.u.). **Phase-B-Versuch FM gescheitert + revertiert:** `.conf` importiert,
-> Handshake grün, IPsec voreilig aus → FM nicht erreichbar. **Diagnose-Fehler:** nur FB-eigene `.254` gepingt
-> (antwortet aus Tunnel-IP `10.255.255.2` → OS verwirft); **echte FM-LAN-Hosts nie getestet** → NAT-These unbewiesen.
-> Research (Bouni) sagt: FB↔MikroTik-LAN-LAN **ohne NAT geht**. User hat **FM auf IPsec zurückgestellt** (FB-WG aus),
-> ap1-WG-Hub bleibt (inert). **Wiederaufnahme via Klickanleitung `routeros/fritzbox-wg-lanlan-klickanleitung.md`**
-> (Echt-Host-Test ZUERST, dann FB-LAN-LAN-Check, IPsec bleibt Sicherheitsnetz).
+> ## ⏸ STATUS 2026-06-16: PAUSIERT — FM auf IPsec, ROOT CAUSE gefunden (Ansatz machbar)
+> Phase-A-Hub auf ap1 steht (s.u.). **Phase-B FM gescheitert → revertiert; Ursache jetzt klar:**
+> Echt-Host-Test (Ping realer `10.101.0.10`) → Antwort aus `10.255.255.2` ⇒ **FB masqueradet den Tunnel.**
+> **Grund:** `.conf` hatte eine **Transfernetz-Adresse** (`10.255.255.2/32`) → FRITZ!OS = Einzelgerät-Modus = NAT.
+> **AVM nutzt Proxy-ARP statt Transfernetz** → FB-WG-Interface-`Address` muss die **FB-LAN-IP** sein
+> (FM `10.101.0.254/24`, DW `192.168.178.1/24`), Transfernetz streichen, AllowedIPs `10.40.0.0/16`.
+> Configs `routeros/.secrets/wg-{fm,dw}.conf` korrigiert. FM auf **IPsec** (Sicherheitsnetz), ap1-Hub inert.
+> **Wiederaufnahme:** `routeros/fritzbox-wg-lanlan-klickanleitung.md` (FB-LAN-LAN mit LAN-IP, Verify gegen `10.101.0.10`).
 
 ## Zielbild
 - **ap1 (hAP ax², 7.23.1) = WireGuard-Hub** (nativ). FM & DW = FritzBox-Spokes (hub-&-spoke, keine Zusatz-HW).