TP10 ⏸ pausiert: FM-Cutover revertiert (IPsec), FB-WG-LAN-LAN-Klickanleitung

FM-Cutover-Versuch gescheitert: .conf importiert, Handshake grün, IPsec voreilig
deaktiviert -> FM unerreichbar. Diagnose-Fehler: nur FB-eigene .254 gepingt (FB
antwortet aus Tunnel-IP 10.255.255.2 -> OS verwirft); echte FM-LAN-Hosts nie
getestet -> NAT-These unbewiesen. Research (Bouni) bestätigt FB<->MikroTik
LAN-LAN ohne NAT ist machbar. FM auf IPsec zurückgestellt; ap1-WG-Hub bleibt inert.

- routeros/fritzbox-wg-lanlan-klickanleitung.md: Diagnose->Fix->Verify, Echt-Host-
  Test ZUERST (10.101.0.10, nicht .254), IPsec bleibt Sicherheitsnetz.
- teilprojekte.md / tp10-vpn-migration.md: Status ⏸ + Incident dokumentiert.

Spoke-.conf mit Private-Keys bleiben gitignored in routeros/.secrets/ (die
ungetrackten Duplikate in routeros/ Root sind bewusst NICHT committet).

Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>

docs/teilprojekte.md

@@ -117,14 +117,20 @@ Kontrolle: MikroMCP (MikroTik) live · ALLNET = Klickanleitungen · Omada → Co
   **Empfehlung:** VRRP nur für **MAIN/INFRA**, sonst ap2 als **Kalt-Ersatz** + Backup. DHCP/DNS schon redundant (Split + 2 Resolver).
 - Abh.: TP4. (Research erledigt, s. TP-R + Config-Skizze im Report.)
 
-### TP10 — Multi-Site VPN ▸ 🟡 Phase A erledigt (Hub gebaut), Cutover offen (`docs/tp10-vpn-migration.md`)
+### TP10 — Multi-Site VPN ▸ ⏸ PAUSIERT (FM auf IPsec zurück), Klickanleitung steht (`docs/tp10-vpn-migration.md`)
 - **✅ Phase A (2026-06-16):** ap1-WG-**Hub** `wg-hub` live (UDP **51821**, MTU 1412, keine IF-IP). 2 Peers
   vorkonfiguriert: **FM** `10.101.0.0/24` (war IPsec) = `peer1` · **DW/Geli** `192.168.178.0/24` CGNAT (war WG) = `peer2`.
   Routen + Firewall (input/forward) gesetzt; NAT braucht nichts (Egress wg-hub ≠ masq-Interface). Hub-Pub
   `P/bztIk13cAmLHbN6oHGGnWAKLZsqR5TXAbFP+NGGBk=`, Endpoint `xvbeo64jqlqd9gfo.myfritz.net:51821`.
   Spoke-Configs in `routeros/.secrets/wg-{fm,dw}.conf` (Private-Keys, nicht im Git). FB-Portfreigabe 51821→ap1 gesetzt.
-- **⏳ Phase B (Cutover, offen):** `.conf` je FB importieren → Handshake/L3-Verify (FM: SMB per IP wg. NetBIOS-Lehre)
-  → erst dann alten AVM-Tunnel (IPsec/WG) abschalten. Parallelphase, reversibel. **Port 51821** hält FB-51820-WG (DW) intakt.
+- **⛔ Phase-B-Versuch FM gescheitert → revertiert (2026-06-16):** `.conf` importiert, Handshake grün, IPsec
+  voreilig deaktiviert → FM-LAN nicht erreichbar. **Befund:** WG-Tunnel routet (rx/tx fließen), aber Test war nur
+  Ping auf FB-eigene `.254` (antwortet aus Tunnel-IP `10.255.255.2` → OS verwirft) — **echte LAN-Hosts nie getestet**.
+  → **NAT-These unbewiesen.** Research (Bouni) bestätigt FB↔MikroTik-LAN-LAN **ohne NAT** ist machbar. User hat
+  **FM auf IPsec zurückgestellt** (FB-WG aus). ap1-WG-Hub/Peers bleiben (inert).
+- **⏳ Resume:** Klickanleitung `routeros/fritzbox-wg-lanlan-klickanleitung.md` — **Echt-Host-Test zuerst**
+  (realer `10.101.0.X`, nicht `.254`), FB-WG als LAN-LAN/AllowedIPs `10.40.0.0/16` prüfen, ap1-Route `10.255.255.0/24→wg-hub`,
+  IPsec erst nach grünem Verify abschalten. **Port 51821** hält FB-51820-WG (DW) intakt.
 - **Empfehlung:** **Hybrid** — **WireGuard Site-to-Site-Backbone** (BF/hAP = WG-**Hub**, FM/DW = FritzBox-**Spokes**, hub&spoke, **KEINE Zusatz-HW**) **+ WARP für Remote-User** (ergänzt, ersetzt nicht).
 - **WARP kann FBs NICHT direkt** ansprechen → bräuchte Connector-Host hinter der FB (an reinen-FB-Standorten FM/DW unattraktiv).
 - **Vorab-Check (User, entscheidend):** WAN je Standort — **public/dynamisch (OK: DynDNS/MyFRITZ) vs. CGNAT/DS-Lite am BF-Hub (= K.O. → dann CF/WARP-Pfad, CGNAT-immun)**.

docs/tp10-vpn-migration.md

@@ -4,6 +4,14 @@
 > gated: permanenter FB-Bridge-Mode (AP4.1) hängt an diesem TP.
 > **Reihenfolge fix: VPNs migrieren → Liwest-Anruf (Bridge) → FB wird Modem.**
 
+> ## ⏸ STATUS 2026-06-16: PAUSIERT — FM auf IPsec zurück
+> Phase-A-Hub auf ap1 steht (s.u.). **Phase-B-Versuch FM gescheitert + revertiert:** `.conf` importiert,
+> Handshake grün, IPsec voreilig aus → FM nicht erreichbar. **Diagnose-Fehler:** nur FB-eigene `.254` gepingt
+> (antwortet aus Tunnel-IP `10.255.255.2` → OS verwirft); **echte FM-LAN-Hosts nie getestet** → NAT-These unbewiesen.
+> Research (Bouni) sagt: FB↔MikroTik-LAN-LAN **ohne NAT geht**. User hat **FM auf IPsec zurückgestellt** (FB-WG aus),
+> ap1-WG-Hub bleibt (inert). **Wiederaufnahme via Klickanleitung `routeros/fritzbox-wg-lanlan-klickanleitung.md`**
+> (Echt-Host-Test ZUERST, dann FB-LAN-LAN-Check, IPsec bleibt Sicherheitsnetz).
+
 ## Zielbild
 - **ap1 (hAP ax², 7.23.1) = WireGuard-Hub** (nativ). FM & DW = FritzBox-Spokes (hub-&-spoke, keine Zusatz-HW).
 - Ablösung der **2 produktiven AVM-LAN-LAN-Tunnel** auf der BF-FB → **2× WireGuard auf ap1**: