2 Commits

Author	SHA1	Message	Date
Christoph Emsenhuber	919f8623c9	TP10 🎯 Root Cause FM-NAT gefunden: FB braucht LAN-IP als WG-Address (Proxy-ARP) ... Echt-Host-Test (Ping realer 10.101.0.10 über WG) -> Antwort aus 10.255.255.2 => FB masqueradet den Tunnel, bestätigt. Ursache: .conf nutzte Transfernetz- Adresse (10.255.255.2/32) -> FRITZ!OS = Einzelgerät-Modus = NAT. AVM nutzt Proxy-ARP statt Transfernetz -> FB-WG-Interface-Address muss die FB-LAN-IP sein (FM 10.101.0.254/24, DW 192.168.178.1/24), Transfernetz streichen, AllowedIPs 10.40.0.0/16. -> WG-Spoke-Ansatz damit machbar. - fritzbox-wg-lanlan-klickanleitung.md: Root Cause + One-Field-Fix (LAN-IP als Address), LAN-LAN-Wizard, Verify gegen 10.101.0.10. - teilprojekte.md / tp10-vpn-migration.md: Status "Root Cause gefunden, machbar". Korrigierte Spoke-Configs in routeros/.secrets/wg-{fm,dw}.conf (gitignored). FM bleibt auf IPsec (Sicherheitsnetz); ap1-WG-Hub inert. Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>	2026-06-17 00:15:32 +02:00
Christoph Emsenhuber	e54e6eb7cb	TP10 ⏸ pausiert: FM-Cutover revertiert (IPsec), FB-WG-LAN-LAN-Klickanleitung ... FM-Cutover-Versuch gescheitert: .conf importiert, Handshake grün, IPsec voreilig deaktiviert -> FM unerreichbar. Diagnose-Fehler: nur FB-eigene .254 gepingt (FB antwortet aus Tunnel-IP 10.255.255.2 -> OS verwirft); echte FM-LAN-Hosts nie getestet -> NAT-These unbewiesen. Research (Bouni) bestätigt FB<->MikroTik LAN-LAN ohne NAT ist machbar. FM auf IPsec zurückgestellt; ap1-WG-Hub bleibt inert. - routeros/fritzbox-wg-lanlan-klickanleitung.md: Diagnose->Fix->Verify, Echt-Host- Test ZUERST (10.101.0.10, nicht .254), IPsec bleibt Sicherheitsnetz. - teilprojekte.md / tp10-vpn-migration.md: Status ⏸ + Incident dokumentiert. Spoke-.conf mit Private-Keys bleiben gitignored in routeros/.secrets/ (die ungetrackten Duplikate in routeros/ Root sind bewusst NICHT committet). Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>	2026-06-16 21:36:02 +02:00