TP25: Handoff 2026-09-12 — ap2-Messung blockiert (kein Manager-Zugriff)

Bestandsaufnahme durch; ap2-In-situ-Messung nicht möglich, weil crs326-core (Manager) von dw (WG+WARP, nur ICMP) und von mikromcp/DS923 nicht erreichbar ist. Core gesund (ICMP+Routing), Zugangspfad-Problem, kein Gerätedefekt. Kein Write, SPOF nicht angefasst. Nebenbefund: Doku-Drift ap2-Kanal (ch44/5220 vs. 5300/5320) — beim nächsten Manager-Zugriff zu verifizieren. Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>
2026-09-12 10:47:20 +02:00
12 changed files with 153 additions and 732 deletions
--- a/.gitignore
+++ b/.gitignore
@@ -1,6 +1,10 @@
 .DS_Store
 .secrets

+# Per-Projekt-MCP-Configs: können Tokens/URLs enthalten, projekt-spezifisch, nicht ins Repo
+.mcp.json
+
+
 # Python bytecode
 __pycache__/
 *.pyc
--- a/.mcp.json
+++ b/.mcp.json
@@ -1,67 +0,0 @@
-{
-  "mcpServers": {
-    "home-assistant": {
-      "type": "http",
-      "url": "${MCP_HOME_ASSISTANT_URL}"
-    },
-    "mikromcp": {
-      "type": "stdio",
-      "command": "npx",
-      "args": [
-        "-y",
-        "mikromcp",
-        "serve"
-      ],
-      "env": {
-        "MIKROMCP_CONFIG_PATH": "/Users/christophemsenhuber/dev/bf-infra/mcp/mikromcp/config/routers.yaml",
-        "MIKROMCP_DEFAULT_ROUTER": "ap1",
-        "ROUTER_AP1_USER": "admin",
-        "ROUTER_AP1_PASS": "${MCP_MIKROMCP_ROUTER_AP1_PASS}",
-        "ROUTER_AP2_USER": "admin",
-        "ROUTER_AP2_PASS": "${MCP_MIKROMCP_ROUTER_AP2_PASS}",
-        "CRS326_CORE_USER": "admin",
-        "CRS326_CORE_PASS": "${MCP_MIKROMCP_CRS326_CORE_PASS}",
-        "CRS326_BRANCH_USER": "admin",
-        "CRS326_BRANCH_PASS": "${MCP_MIKROMCP_CRS326_BRANCH_PASS}",
-        "ROUTER_AP3_USER": "admin",
-        "ROUTER_AP3_PASS": "${MCP_MIKROMCP_ROUTER_AP3_PASS}"
-      }
-    },
-    "hostinger-api": {
-      "alwaysLoad": true,
-      "type": "stdio",
-      "command": "hostinger-api-mcp",
-      "args": [],
-      "env": {
-        "HOSTINGER_API_TOKEN": "${MCP_HOSTINGER_API_TOKEN}"
-      }
-    },
-    "cloudflare": {
-      "alwaysLoad": true,
-      "type": "http",
-      "url": "https://mcp.cloudflare.com/mcp"
-    },
-    "ollama": {
-      "type": "stdio",
-      "command": "npx",
-      "args": [
-        "-y",
-        "ollama-mcp"
-      ],
-      "env": {
-        "OLLAMA_HOST": "http://127.0.0.1:11434"
-      }
-    },
-    "pve-mcp": {
-      "type": "http",
-      "url": "http://10.40.20.173:3000/"
-    },
-    "n8n-mcp": {
-      "type": "http",
-      "url": "http://10.40.20.167:3001/mcp",
-      "headers": {
-        "Authorization": "Bearer ${N8N_MCP_BEARER}"
-      }
-    }
-  }
-}
--- a/CLAUDE.md
+++ b/CLAUDE.md
@@ -53,7 +53,7 @@ DNS/DHCP-Ablösung, WLAN via **CAPsMAN auf dem Core** (TP28, 2026-08-17 — der

 - **`bf-infra`** ist aktiver Master **mit Gitea-Remote**: `origin` = `https://gitea.emsenhuber.net/admin/bf-infra.git` (live verifiziert 2026-08-30). ⚠️ **Die frühere Zeile „lokal, kein Gitea-Remote → verloren bei Festplattencrash" ist überholt** — sie stammt aus der Inventur vom 2026-08-27 und war damals richtig; das Remote existiert seit spätestens 2026-08-28 (`origin/main` = `b917691`). **Die Backup-Lücke ist damit keine Struktur-, sondern eine Disziplinfrage: `git push`.** Am 2026-08-30 lagen vier Commits nur lokal. 🔴 **Das Remote ist nur so viel wert wie der letzte Push** — der Backup-Guard (`~/dev/.bin/backup-guard.sh`, TP35 Schicht 5) bricht Commits ab, solange kein Backup markiert ist; **das ist die Erinnerung ans Pushen, kein Hindernis.** Nicht mit `--no-verify` umgehen. 🔴 **Merkregel:** diese Zeile hat eine Session dazu gebracht, „kein Remote" zu behaupten, statt `git remote -v` zu tippen — vor jeder Aussage über Remotes/Backups **live prüfen**.
 - **`admin/bf-network-r6`** (Gitea) ist Archiv, letzte aktive Commits 2026-08-25 → read-only-Header.
- **`admin/bf-golden-config`** (Gitea) ist Bot-Master, nicht manuell. 🔴 **Korrigiert 2026-09-12:** die frühere Angabe „2×/Tag" war nie real — es gab **keinen** Scheduler, Backup/Intended/Compliance liefen nur manuell aus Sessions (zuletzt 09-04, 8 Tage Stillstand). Jetzt **täglich 03:30 UTC** per ScheduledJob **„GC Backup+Compliance – taeglich"** (Nautobot-Job *Execute All Golden Configuration Jobs - Multiple Device*, Scope `platform=RouterOS`, Reihenfolge Backup→Intended→Compliance). Stand prüfen: `backup_last_success_date` am Gerät bzw. `scheduled-jobs` in Nautobot.
+- **`admin/bf-golden-config`** (Gitea) ist Bot-Master (Nautobot 2×/Tag), nicht manuell.
 - **`admin/blaueblueten-n8n`** (Gitea) ist Master für terpene-Repo.
 - **`inventory/` ist tot** (Pipeline seit 2025-06 stale). Live-Daten aus MikroMCP/CF/Portainer.
 - **`mcp/INVENTORY.md`** ist BF-Netz-SSoT; `~/.claude.json`/`opencode.jsonc` sind globalere Werkzeugkästen.
--- a/adguard/README.md
+++ b/adguard/README.md
@@ -27,19 +27,6 @@ Ein VLAN = eine CIDR-Gruppe. Alle nutzen denselben CF-Upstream-Filter; Divergenz

 `filtering aus` bei INFRA/MEDIA/MGMT = bewusste Reduktion (Streaming/Server/Mgmt nicht brechen), per Gruppe rückholbar.

-## Personen-Clients (Stufe 5 Redesign 2026-09-12) — SSoT für Person→Gerät
-Zusätzlich zu den VLAN-CIDR-Gruppen bekommt **jede Person einen eigenen AGH-Client**
-(`/control/clients`): `name` = Personenname, `ids` = **alle** Geräte-IPs der Person. Das ist der
-**einzige** Ort, an dem Person→Gerät gepflegt wird (kein zweites Mapping-File). Damit:
- wirken Self-Service-Ausnahmen **pro Person**: `@@||domain^$client='Personenname'` statt global;
- filtert `recent-blocked --client <person>` das Query-Log auf **ihre** Geräte;
- bleiben Ausnahmen stabil bei Gerätewechsel (Name statt IP).
-
-🔴 **On-network verifizieren, bevor Stufe 6 scharf geht:** dass AGH `$client=` auf **Allow**-Regeln
-(`@@`) in der laufenden Version greift. Fällt der Test negativ aus → Fallback `$client=<ip>|<ip>`
-(die Geräte-IPs); `agh-exception.py scoped_rule()` kann beides. Die CIDR-Gruppen (Policy-Grenze)
-bleiben unberührt — Personen-Clients tragen **nur** die Ausnahmen.
-
 ## Sync-Invariante
 AGH **schreibt die YAML beim Restart um** (normalisiert) → **nicht** gegen die Repo-Datei diffen,
 sondern **`.36` == `.37`**. Genau das prüft `agh-sync.py check`.
@@ -55,16 +42,11 @@ Referenz-RMW-Implementierung, die D aufruft (Deploy-Weg auf HAOS in Etappe D zu

 | Aktion | CLI | AGH-API (RMW) |
 |---|---|---|
-| Domain **pro Person** entsperren | `allow-domain <d> --client <person>` | `GET /control/filtering/status` → +`@@\|\|<d>^$client='<person>'` → `POST /control/filtering/set_rules` |
-| Domain global entsperren (Admin) | `allow-domain <d>` | dito, ohne `$client` |
-| Entsperrung zurück | `unallow-domain <d> [--client <person>]` | dito, exakt dieselbe Regel entfernen |
-| „meine Ausnahmen" | `list-exceptions --client <person> --json` | `GET /control/filtering/status`, `@@`-Regeln parsen/filtern |
-| „zuletzt geblockt" | `recent-blocked --client <person> --json` | `GET /control/querylog?response_status=blocked`, client-seitig auf Geräte-IPs gefiltert |
-| Client entfiltern (grob) | `unfilter <ip>` | `GET /control/clients` → Objekt, `filtering_enabled=false` → `POST /control/clients/update` |
+| Domain global entsperren | `allow-domain <d>` | `GET /control/filtering/status` → +`@@\|\|<d>^` → `POST /control/filtering/set_rules` |
+| Entsperrung zurück | `unallow-domain <d>` | dito, Regel entfernen |
+| Client entfiltern | `unfilter <ip>` | `GET /control/clients` → Objekt, `filtering_enabled=false` → `POST /control/clients/update` |
 | Client wieder filtern | `refilter <ip>` | dito, zurück auf global |

-Reine Regel-/Filter-Logik ist netzunabhängig getestet: `python3 agh-exception.py selftest`.
-
 **Kein Timing in der CLI** — Ablauf/Revert macht der Aufrufer (HA-Timer) und, ab Stufe 6, der
 RouterOS-Backstop.

--- a/adguard/agh-exception.py
+++ b/adguard/agh-exception.py
@@ -2,37 +2,22 @@
 """
 agh-exception.py — TP23 Stufe 5 Exception-Primitive gegen das AGH-Paar (.36 + .37).

-Von der HA-Self-Service-Schicht (shell_command) ODER von Hand aufrufbar. Wirkt IMMER auf
+Von der HA-Self-Service-Schicht (rest_command) ODER von Hand aufrufbar. Wirkt IMMER auf
 BEIDE Instanzen (kein Sync im Datenpfad). KEIN eigenes Timing — Ablauf/Revert macht der
-Aufrufer (HA-Timer) bzw. der RouterOS-Backstop (Stufe 6). Diese CLI ist reines add/remove/read.
+Aufrufer (HA-Timer) bzw. der RouterOS-Backstop (Stufe 6). Diese CLI ist reines add/remove.

-  allow-domain   <domain> [--client <name|ip[,ip]>]  → user_rules += @@||domain^[$client=…]
-  unallow-domain <domain> [--client <name|ip[,ip]>]  → dieselbe Regel wieder entfernen
-  list-exceptions        [--client <name>] [--json]  → alle @@-Regeln, nach Client gruppiert
-  recent-blocked --client <name|ip[,ip]> [--limit N] [--json]
-                                                     → zuletzt geblockte Domains DIESER Person
-  unfilter       <ip>       → Client (dessen ids <ip> enthält) filtering_enabled=false  (grob!)
+  allow-domain   <domain>   → user_rules += @@||domain^   (Domain für ALLE entsperren)
+  unallow-domain <domain>   → user_rules -= @@||domain^
+  unfilter       <ip>       → Client (dessen ids <ip> enthält) filtering_enabled=false
  refilter       <ip>       → denselben Client wieder filtern (use_global_settings=true)
  status                    → user_rules + Client-Policy beider Instanzen

--client:
-  * ein AGH-Client-NAME (empfohlen, stabil bei Gerätewechsel) → Regel bekommt $client='Name',
-    IPs werden für recent-blocked aus /control/clients (ids) aufgelöst.
-  * ODER eine/mehrere IP/CIDR, komma-getrennt → $client=<ip>|<ip>, recent-blocked filtert darauf.
-  ohne --client bei allow/unallow = GLOBAL (für alle) — nur für Admin-Zwecke.
-
-🔴 ANNAHME, on-network zu verifizieren, BEVOR Stufe 6 scharf geht: dass AGH $client= auf
-   ALLOW-Regeln (@@) in der laufenden Version wirkt. Die Regelkonstruktion steht isoliert in
-   scoped_rule()/parse_allow_rule() — falls die Syntax abweicht, nur dort anpassen.
-
 Auth: AGH_AUTOMATION_USER/_PASS aus ~/.secrets/credentials.env (nie in argv).
 """
-import sys, os, json, base64, urllib.request, urllib.error, urllib.parse, pathlib, re, ipaddress, argparse
+import sys, os, json, base64, urllib.request, urllib.error, pathlib, re

 DOMAIN_RE = re.compile(r"^(?=.{1,253}$)([a-z0-9](-?[a-z0-9]+)*\.)+[a-z]{2,}$", re.I)
 IP_RE = re.compile(r"^\d{1,3}(\.\d{1,3}){3}$")
-CIDR_RE = re.compile(r"^\d{1,3}(\.\d{1,3}){3}/\d{1,2}$")
-# Ein Client-„spec" ist IP-artig, wenn JEDES komma-Glied IP oder CIDR ist; sonst = Name.

 INST = ["10.40.20.36", "10.40.20.37"]
 # Creds-Quellen in Reihenfolge: erste, die User+Pass liefert, gewinnt.
@@ -65,20 +50,14 @@ def creds():
    sys.exit("AGH_AUTOMATION_USER/_PASS: weder Env noch eine Creds-Datei gefunden")


-_AUTH = None
-def auth_header():
-    # lazy: erst beim ersten echten API-Call — so bleibt das Modul ohne Creds importier-/testbar.
-    global _AUTH
-    if _AUTH is None:
-        _AUTH = "Basic " + base64.b64encode(":".join(creds()).encode()).decode()
-    return _AUTH
+AUTH = "Basic " + base64.b64encode(":".join(creds()).encode()).decode()


 def api(ip, path, method="GET", body=None):
    url = f"http://{ip}{path}"
    data = json.dumps(body).encode() if body is not None else None
    req = urllib.request.Request(url, data=data, method=method,
-                                 headers={"Authorization": auth_header(),
+                                 headers={"Authorization": AUTH,
                                          "Content-Type": "application/json"})
    try:
        with urllib.request.urlopen(req, timeout=8) as r:
@@ -90,129 +69,26 @@ def api(ip, path, method="GET", body=None):
        sys.exit(f"{ip} {path} → {e}")


-# ---------------------------------------------------------------------------
-# Reine Regel-Logik (netzunabhängig, self-testbar). Bei AGH-Syntax-Drift NUR hier anfassen.
-# ---------------------------------------------------------------------------
-def is_ip_spec(spec):
-    """True, wenn spec eine (Komma-)Liste aus lauter IPs/CIDRs ist (→ IP-spec), sonst Name."""
-    parts = [s.strip() for s in spec.split(",") if s.strip()]
-    return bool(parts) and all(IP_RE.match(p) or CIDR_RE.match(p) for p in parts)
+def rule(domain):
+    return f"@@||{domain}^"


-def client_modifier(spec):
-    """$client-Modifier-Wert für eine Regel. IP-spec → ip|ip ; Name → 'Name' (quoted)."""
-    if is_ip_spec(spec):
-        return "|".join(s.strip() for s in spec.split(",") if s.strip())
-    return "'" + spec.replace("'", "") + "'"
-
-
-def scoped_rule(domain, client=None):
-    """@@||domain^  bzw.  @@||domain^$client=…  (client = Name oder ip[,ip])."""
-    base = f"@@||{domain}^"
-    return base if not client else f"{base}$client={client_modifier(client)}"
-
-
-_ALLOW_RE = re.compile(r"^@@\|\|(?P<domain>[^\^]+)\^(?:\$client=(?P<client>.+))?$")
-def parse_allow_rule(rule):
-    """@@-Regel → {'domain':…, 'client': <str oder None>, 'raw': rule} oder None."""
-    m = _ALLOW_RE.match(rule.strip())
-    if not m:
-        return None
-    return {"domain": m.group("domain"), "client": m.group("client"), "raw": rule.strip()}
-
-
-def ip_in_specs(ip, specs):
-    """Ist ip (aus dem Query-Log) von einer der specs (IP oder CIDR) erfasst?"""
-    try:
-        addr = ipaddress.ip_address(ip)
-    except ValueError:
-        return False
-    for s in specs:
-        s = s.strip()
-        try:
-            if "/" in s:
-                if addr in ipaddress.ip_network(s, strict=False):
-                    return True
-            elif ip == s:
-                return True
-        except ValueError:
-            continue
-    return False
-
-
-# ---------------------------------------------------------------------------
-def resolve_client_ips(spec):
-    """spec → Liste von IP/CIDR-strings. IP-spec direkt; Name → ids des AGH-Clients (von .36)."""
-    if is_ip_spec(spec):
-        return [s.strip() for s in spec.split(",") if s.strip()]
-    data = api(INST[0], "/control/clients")
-    for c in data.get("clients", []):
-        if c.get("name") == spec:
-            return list(c.get("ids", []))
-    sys.exit(f"kein AGH-Client mit name={spec!r} (für IP-spec Komma-Liste aus IP/CIDR angeben)")
-
-
-def allow(domain, client=None, remove=False):
+def allow(domain, remove=False):
    domain = domain.strip().lower()
    if not DOMAIN_RE.match(domain):
        sys.exit(f"ungültige Domain: {domain!r}")
-    r = scoped_rule(domain, client)
+    r = rule(domain)
    for ip in INST:
        st = api(ip, "/control/filtering/status")
        rules = st.get("user_rules", [])
        if remove:
-            rules = [x for x in rules if x.strip() != r]
+            rules = [x for x in rules if x != r]
        elif r not in rules:
            rules = rules + [r]
        api(ip, "/control/filtering/set_rules", "POST", {"rules": rules})
        print(f"{ip}: {'entfernt' if remove else 'gesetzt'} {r} (user_rules={len(rules)})")


-def list_exceptions(client=None, as_json=False):
-    st = api(INST[0], "/control/filtering/status")  # .36 == .37 (Invariante, via agh-sync geprüft)
-    items = []
-    for raw in st.get("user_rules", []):
-        p = parse_allow_rule(raw)
-        if not p:
-            continue
-        if client is not None and (p["client"] or "") != client_modifier(client):
-            continue
-        items.append(p)
-    if as_json:
-        print(json.dumps(items, ensure_ascii=False))
-        return
-    if not items:
-        print("— keine Ausnahmen —"); return
-    for p in items:
-        who = p["client"] or "GLOBAL"
-        print(f"  {p['domain']:40} client={who}")
-
-
-def recent_blocked(client, limit=20, as_json=False):
-    specs = resolve_client_ips(client)
-    q = urllib.parse.urlencode({"response_status": "blocked", "limit": max(limit * 8, 100)})
-    data = api(INST[0], f"/control/querylog?{q}")
-    seen = {}  # domain -> {count, last}
-    for e in data.get("data", []):
-        c = e.get("client", "")
-        if not ip_in_specs(c, specs):
-            continue
-        dom = (e.get("question", {}) or {}).get("name", "").rstrip(".").lower()
-        if not dom:
-            continue
-        rec = seen.setdefault(dom, {"domain": dom, "count": 0, "last": e.get("time", "")})
-        rec["count"] += 1
-        if e.get("time", "") > rec["last"]:
-            rec["last"] = e.get("time", "")
-    out = sorted(seen.values(), key=lambda r: r["last"], reverse=True)[:limit]
-    if as_json:
-        print(json.dumps(out, ensure_ascii=False)); return
-    if not out:
-        print("— nichts geblockt —"); return
-    for r in out:
-        print(f"  {r['domain']:40} x{r['count']:<4} {r['last']}")
-
-
 def set_filter(ip_addr, enabled):
    if not IP_RE.match(ip_addr):
        sys.exit(f"ungültige IP: {ip_addr!r}")
@@ -241,47 +117,13 @@ def status():
            print(f"   {c['name']:16} ids={c['ids']} global={c['use_global_settings']} filt={c['filtering_enabled']}")


-def _selftest():
-    """Netzunabhängiger Test der reinen Regel-Logik."""
-    assert is_ip_spec("10.40.10.82") and is_ip_spec("10.40.10.82,10.40.10.183")
-    assert is_ip_spec("10.40.10.0/24") and not is_ip_spec("christoph")
-    assert scoped_rule("x.com") == "@@||x.com^"
-    assert scoped_rule("x.com", "10.40.10.82,10.40.10.183") == "@@||x.com^$client=10.40.10.82|10.40.10.183"
-    assert scoped_rule("x.com", "christoph") == "@@||x.com^$client='christoph'"
-    p = parse_allow_rule("@@||x.com^$client='christoph'")
-    assert p and p["domain"] == "x.com" and p["client"] == "'christoph'"
-    p2 = parse_allow_rule("@@||y.com^")
-    assert p2 and p2["client"] is None
-    assert parse_allow_rule("||block.com^") is None
-    assert ip_in_specs("10.40.10.82", ["10.40.10.82"]) is True
-    assert ip_in_specs("10.40.10.5", ["10.40.10.0/24"]) is True
-    assert ip_in_specs("10.40.20.5", ["10.40.10.0/24"]) is False
-    # round-trip: eine scoped Regel wird von list-exceptions --client wieder getroffen
-    assert (parse_allow_rule(scoped_rule("z.com", "christoph"))["client"]
-            == client_modifier("christoph"))
-    print("selftest OK")
-
-
 if __name__ == "__main__":
-    ap = argparse.ArgumentParser(add_help=False)
-    ap.add_argument("cmd", nargs="?")
-    ap.add_argument("arg", nargs="?")
-    ap.add_argument("--client")
-    ap.add_argument("--permanent", action="store_true")  # semantisch = kein Timer; wirkt in HA, nicht hier
-    ap.add_argument("--limit", type=int, default=20)
-    ap.add_argument("--json", action="store_true")
-    a = ap.parse_args()
-
-    if not a.cmd:
-        sys.exit(__doc__)
-    if a.cmd == "allow-domain":     allow(a.arg, a.client)
-    elif a.cmd == "unallow-domain": allow(a.arg, a.client, remove=True)
-    elif a.cmd == "list-exceptions": list_exceptions(a.client, a.json)
-    elif a.cmd == "recent-blocked":
-        if not a.client: sys.exit("recent-blocked braucht --client <name|ip[,ip]>")
-        recent_blocked(a.client, a.limit, a.json)
-    elif a.cmd == "unfilter":       set_filter(a.arg, False)
-    elif a.cmd == "refilter":       set_filter(a.arg, True)
-    elif a.cmd == "status":         status()
-    elif a.cmd == "selftest":       _selftest()
-    else: sys.exit(f"unbekannt: {a.cmd}\n{__doc__}")
+    a = sys.argv[1:]
+    if not a: sys.exit(__doc__)
+    cmd = a[0]
+    if cmd == "allow-domain":   allow(a[1])
+    elif cmd == "unallow-domain": allow(a[1], remove=True)
+    elif cmd == "unfilter":     set_filter(a[1], False)
+    elif cmd == "refilter":     set_filter(a[1], True)
+    elif cmd == "status":       status()
+    else: sys.exit(f"unbekannt: {cmd}\n{__doc__}")
--- a/adguard/ha-self-service.md
+++ b/adguard/ha-self-service.md
@@ -1,98 +1,63 @@
-# TP23 Stufe 5 (Redesign 2026-09-12) — DAU-tauglicher, personenbezogener DNS-Self-Service
+# TP23 Stufe 5 — HA-Self-Service für DNS-Ausnahmen

-> 🔴 **Status: Bau-Spec, noch nicht deployt.** Die alte Fassung (single-domain, temp-only,
-> HA-Neustart bei neuer Domain) war „funktional ein kastriertes Pi-hole" (User-Befund 2026-09-12)
-> und ist ersetzt. Bau + Abnahme laufen **on-network** (HAOS `10.40.20.105`, AGH `.36/.37`) — beim
-> Anlegen den **home-assistant-best-practices-Skill** konsultieren und via **ha-mcp** in `.storage`
-> anlegen (native Helper, `entity_id` statt `device_id`). Diese Datei ist die Repro-/SSoT-Quelle.
+Home Assistant (HAOS-VM 100, `10.40.20.105`) gibt eine Ein-Klick-Oberfläche, um eine Domain
+temporär (JIT) über das AGH-Paar `.36`/`.37` zu entsperren. Ablauf/Revert nativ per `timer`.

-## Ziel (User-Requirements 2026-09-12)
-Ein **einfaches, klar verständliches** End-User-UI zum Entsperren:
- **alles was den Nutzer betrifft, nichts** von anderen / Admin / Power-User;
- Policy nur sichtbar, wo sie für den einfachen Nutzer Relevanz hat.
+**Warum kein `rest_command`:** die AGH-Endpunkte sind read-modify-write (`set_rules` ersetzt die
+ganze Liste). HA ruft deshalb die deployte RMW-CLI `agh-exception.py` per `shell_command`.

-| # | Requirement | Umsetzung |
-|---|---|---|
-| 1 | **Pro Person** (Login), Sicht über alle Geräte | HA-User = Person; Person → AGH-Client (Name), dessen `ids` = ihre Geräte-IPs |
-| 2 | **„zuletzt geblockt" → 1 Klick** | `recent-blocked --client <person>` aus dem AGH-Query-Log, auf die Geräte der Person gefiltert |
-| 3 | **temporär UND dauerhaft**, Modus umschaltbar | Dauer-Select inkl. „dauerhaft"; `input_boolean` self-permanent ⇄ Anfrage. **Start: self-permanent** |
-| 4 | **HA-Dashboard, scoped** pro Person | ein View je Person, nur für ihre HA-User-ID sichtbar |
-
-## Identitätsmodell — AGH-Client je Person ist die SSoT
- Pro Person **ein AGH-Client** (`/control/clients`), `name` = Personenname, `ids` = **alle** Geräte-IPs
-  der Person (die per DHCP faktisch statisch sind). Damit ist Person→Gerät **an einem Ort** gepflegt
-  (kein zweites Mapping-File), und Ausnahmen sind stabil bei Gerätewechsel.
- Ausnahme-Regel = `@@||domain^$client='Personenname'` (statt globalem `@@||domain^`).
-  🔴 **Vor Scharfschalten on-network verifizieren, dass AGH `$client=` auf `@@`-Regeln wirkt**
-  (s. `agh-exception.py` Kopf). Fällt der Test negativ aus: Fallback = `$client=<ip>|<ip>` mit den
-  Geräte-IPs statt dem Namen (Code kann beides, `scoped_rule()`).
- Die bestehenden **VLAN-CIDR-Gruppen** bleiben die Policy-Grenze (Filter an/aus je VLAN);
-  Personen-Clients sind spezifischer und tragen nur die *Ausnahmen*.
-
-## CLI (deployt nach `/config/agh-exception.py`, wirkt auf `.36`+`.37`)
-```
-allow-domain   <domain> --client <person>     # Ausnahme setzen (temp: HA revertiert; perm: kein Timer)
-unallow-domain <domain> --client <person>     # dieselbe Ausnahme entfernen
-list-exceptions --client <person> --json      # „meine Ausnahmen" (für Übersicht + Entfernen)
-recent-blocked  --client <person> --json      # „zuletzt geblockt" (nur Geräte der Person)
-```
-`--client` nimmt einen AGH-Client-Namen (→ IPs via `/control/clients`) ODER eine Komma-IP/CIDR-Liste.
-
-## `configuration.yaml` — `shell_command` (einziger YAML-Teil, Backup `.bak-tp23-*`)
-Domain **und** Client sind Parameter → **kein HA-Neustart mehr** bei neuer Domain (das war der alte
-DAU-Killer: pro Domain ein eigener `shell_command`).
-```yaml
-shell_command:
-  agh_allow:   "python3 /config/agh-exception.py allow-domain '{{ domain }}' --client '{{ client }}'"
-  agh_unallow: "python3 /config/agh-exception.py unallow-domain '{{ domain }}' --client '{{ client }}'"
-```
-
-## Helfer / Entities (via ha-mcp in .storage)
-Pro Person (Beispiel `christoph`) — bei mehreren Personen je einmal, Suffix = Personen-Slug:
+## Bausteine (alle in HA .storage, via ha-mcp angelegt — keine YAML außer shell_command)
 | Typ | entity_id | Zweck |
 |---|---|---|
-| command_line sensor | `sensor.dns_recent_blocked_<slug>` | `recent-blocked --client <person> --json` → `json_attributes: items` (Liste {domain,count,last}); Scan-Intervall ~60 s |
-| command_line sensor | `sensor.dns_exceptions_<slug>` | `list-exceptions --client <person> --json` → aktive Ausnahmen der Person |
-| input_select | `input_select.dns_dauer_<slug>` | 1 Stunde / 4 Stunden / **dauerhaft** |
-| timer | `timer.dns_ausnahme_<slug>` | JIT-Countdown je temporärer Freigabe (restore=false) |
-| input_boolean | `input_boolean.dns_permanent_ohne_anfrage` | **global**: an = „dauerhaft" wirkt sofort (Start); aus = erzeugt Admin-Genehmigung |
-| script | `script.dns_freigeben_<slug>` | nimmt `domain` als Feld → `agh_allow`; bei „dauerhaft"+Switch-aus → `todo`/Notification statt Freigabe; sonst Timer starten |
-| automation | `automation.dns_ablauf_<slug>` | `timer.finished`/`.cancelled` → `agh_unallow`, Aufräumen |
+| input_text | `input_text.dns_ausnahme_domain` | einzugebende Domain |
+| input_text | `input_text.dns_ausnahme_aktiv` | aktuell aktive Ausnahme (für leak-freien Revert; init `""`) |
+| input_select | `input_select.dns_ausnahme_dauer` | 15 Minuten / 1 Stunde / 4 Stunden |
+| timer | `timer.dns_ausnahme` | JIT-Countdown (restore=false) |
+| input_button | `input_button.dns_ausnahme_starten` | Auslöser |
+| automation | `automation.dns_ausnahme_starten` | Button → validieren, alte Ausnahme aufräumen, `agh_allow_domain`, Timer starten |
+| automation | `automation.dns_ausnahme_ablauf` | `timer.finished`/`timer.cancelled` → `agh_unallow_domain`, `_aktiv` leeren |

-## Dashboard — ein scoped View je Person
- Eigener storage-Dashboard-View, **nur für die HA-User-ID der Person sichtbar** (`visible:` mit
-  der user-id; `require_admin:false`). Kleiner Haushalt → ein View je Person ist praktikabel und
-  umgeht das „Template kennt den aktuellen Betrachter nicht"-Problem.
- **Karte 1 „Zuletzt geblockt (antippen zum Freigeben)":** rendert `sensor.dns_recent_blocked_<slug>`
-  Attribut `items`; jede Zeile hat eine `tap_action` → `script.dns_freigeben_<slug>` mit `domain`
-  der Zeile + aktueller `input_select`-Dauer. (Dynamische Per-Zeilen-tap_action braucht i.d.R.
-  `auto-entities` + `template`/`button-card` **oder** ein kleines Custom-List-Template — **beim Bau
-  on-network entscheiden**, das ist der Teil, der Live-Verifikation braucht.)
- **Karte 2 „Meine Ausnahmen":** `sensor.dns_exceptions_<slug>` als Liste, je Eintrag Entfernen
-  (`agh_unallow`).
- **Karte 3 „Dauer":** `input_select.dns_dauer_<slug>` (inkl. „dauerhaft").
- **Kein** globaler Status, keine fremden Clients, keine Policy-Interna. Nur wenn relevant ein
-  kurzer Hinweis („durch den Familien-Filter blockiert").
+## `configuration.yaml` (der einzige YAML-Teil, Backup `.bak-tp23-*`)
+```yaml
+shell_command:
+  agh_allow_domain: "python3 /config/agh-exception.py allow-domain '{{ domain }}'"
+  agh_unallow_domain: "python3 /config/agh-exception.py unallow-domain '{{ domain }}'"
+  agh_unfilter_client: "python3 /config/agh-exception.py unfilter '{{ ip }}'"
+  agh_refilter_client: "python3 /config/agh-exception.py refilter '{{ ip }}'"
+```
+Neue Domain → **HA-Neustart** nötig (reload_all lädt eine erstmals hinzugefügte Domain nicht).

-## Genehmigungs-Variante (Modus-Switch aus)
-`input_boolean.dns_permanent_ohne_anfrage = off` → „dauerhaft"-Klick legt statt der Freigabe einen
-Eintrag in einer **`todo`-Liste** „DNS-Freigaben zu prüfen" an (+ Notification an Christoph). Beim
-Abhaken führt eine Admin-Automation `agh_allow` ohne Timer aus. Beide Varianten sind gebaut; der
-Switch entscheidet zur Laufzeit.
+## Deploy auf HAOS (Zugang `ssh admin@10.40.20.105`, sudo passwortlos)
+- `/config/agh-exception.py` — Kopie von `adguard/agh-exception.py` (liest Creds via `/config/agh-exception.secrets`).
+- `/config/agh-exception.secrets` (chmod 600, root) — `AGH_AUTOMATION_USER`/`_PASS`.
+- Redeploy nach Script-Änderung: `base64 < adguard/agh-exception.py | ssh admin@10.40.20.105 "base64 -d | sudo tee /config/agh-exception.py >/dev/null"`.

-## Alt-Reste, die beim Bau wegfallen/fixen
- Single-domain-Flow (`input_text.dns_ausnahme_domain/_aktiv`, `input_button…_starten`,
-  `automation…_starten/_ablauf`) und der `agh_allow_domain`/`_unallow_domain`-**pro-Domain**-Zwang.
- Statuskachel-Sensor `binary_sensor.adguard_bf1_status` hing am toten `.16` → auf `.36`/`.37` neu.
+## Bedienung
+Domain eintragen → Dauer wählen → **DNS-Ausnahme starten**. Bei Ablauf/Abbruch wird die Regel auf
+beiden AGH automatisch zurückgenommen. Ungültige Domains werden HA- **und** CLI-seitig abgelehnt.

-## Abnahme (on-network, = neue echte Stufe-6-Vorbedingung)
-Mit einem **echten Nicht-Admin-Login**: geblockte Seite → erscheint in *ihrer* Fläche → 1 Klick
-temporär (revertiert nach Ablauf) **und** 1 Klick dauerhaft (bleibt) → wirkt **nur** für diese
-Person (Gegentest: anderer Client sieht die Domain weiter geblockt). `.36 == .37`
-(`agh-sync.py check`). Modus-Switch beide Wege einmal durchgespielt.
+## Dashboard (1. Draft, 2026-09-06)
+Eigenes storage-mode Dashboard `url_path: dns-ausnahmen` (Sidebar, `require_admin: false`),
+angelegt via `ha_config_set_dashboard`. Da es in HA-`.storage` lebt, hier die Repro-Quelle:
+```json
+{"views":[{"title":"DNS-Ausnahmen","path":"dns","type":"sections","icon":"mdi:dns","max_columns":2,"sections":[
+ {"type":"grid","cards":[
+   {"type":"heading","heading":"Domain temporaer freigeben","icon":"mdi:lock-open-variant"},
+   {"type":"entities","entities":[{"entity":"input_text.dns_ausnahme_domain","name":"Domain"},{"entity":"input_select.dns_ausnahme_dauer","name":"Dauer"}]},
+   {"type":"button","name":"DNS-Ausnahme starten","icon":"mdi:lock-open-check","tap_action":{"action":"perform-action","perform_action":"input_button.press","target":{"entity_id":"input_button.dns_ausnahme_starten"}},"grid_options":{"columns":"full"}}]},
+ {"type":"grid","cards":[
+   {"type":"heading","heading":"Status","icon":"mdi:information-outline"},
+   {"type":"tile","entity":"timer.dns_ausnahme","name":"Restlaufzeit"},
+   {"type":"tile","entity":"input_text.dns_ausnahme_aktiv","name":"Aktive Ausnahme"},
+   {"type":"markdown","content":"**AGH-Resolver-Paar** — .36: {{ states('binary_sensor.adguard_bf1_status') }} / .37: {{ states('binary_sensor.adguard_bf2_status') }}"}]},
+ {"type":"grid","cards":[
+   {"type":"heading","heading":"VLAN-Filter-Policy (AGH-Gruppen)","heading_style":"subtitle"},
+   {"type":"markdown","content":"MAIN/IOT/UNTRUSTED=an · INFRA/MEDIA/MGMT=aus · GUEST=an+SafeSearch/Parental · dns-bypass-exempt=aus"}]}
+]}]}
+```
+⚠️ Draft-Notiz: `binary_sensor.adguard_bf1_status` ist stale (hing am alten `.16`-Container, TP42) —
+zeigt evtl. `unavailable`, obwohl `.36` läuft. Sensor-Quelle gehört bei Gelegenheit auf `.36` gefixt.

-## Verweise
- CLI: `adguard/agh-exception.py` (Subcommands + `selftest`). Deploy-Weg unverändert (base64→scp,
-  s. unten). Creds `/config/agh-exception.secrets` (chmod 600).
- Redeploy: `base64 < adguard/agh-exception.py | ssh admin@10.40.20.105 "base64 -d | sudo tee /config/agh-exception.py >/dev/null"`.
- Personen-Client-Modell: `adguard/README.md`. Kontext/Reihenfolge: TP23 in `docs/teilprojekte.md`.
+## Verifiziert (2026-09-04)
+Button → `@@||doubleclick.net^` auf `.36`+`.37`, Timer 15:00, `_aktiv` gesetzt; Timer-Abbruch →
+Regel auf beiden entfernt, `_aktiv` geleert, `.36==.37`.
--- a/docs/announcements.md
+++ b/docs/announcements.md
@@ -1,47 +0,0 @@
-# Announcements — bf-infra
-
-Breaking News / Querschnitts-Änderungen, die **jede** folgende Session kennen muss, bevor sie
-losarbeitet — Dinge, die man sonst erst nach dem ersten Fehlschlag merkt. Kein Ersatz für die
-TP-Prosa (`docs/teilprojekte.md`) oder das Gitea-Board; hier steht nur, was *quer* zu den TPs gilt.
-
-**Format je Eintrag:** Überschrift `## YYYY-MM-DD — <Titel>`, dann die Zeilen
-**Betrifft:** (wer/was) und **Aktion:** (was eine Session konkret anders machen muss),
-optional ein, zwei Sätze Kontext. **Neueste oben.** Der Skill `/news` liest diese Datei und
-zeigt die Einträge, die seit dem letzten `/news`-Lauf dazugekommen sind (Rest auf Wunsch).
-
-<!-- TP35 Schicht 4. Eintrag hinzufügen = neuen ##-Block ganz oben unter dieser Zeile einfügen. -->
-
---
-
-## 2026-09-12 — Golden-Config-Backups laufen jetzt täglich (vorher KEIN Scheduler)
-**Betrifft:** alle, die sich auf GC-Backups/Compliance oder `gc-snapshot.py`-Werte verlassen.
-**Aktion:** Es gab **nie** einen automatischen GC-Backup-Zeitplan — Backup/Intended/Compliance liefen
-nur manuell aus Sessions (zuletzt 09-04 → 8 Tage Stillstand). Jetzt ScheduledJob **„GC Backup+Compliance
-– taeglich"** (Nautobot, *Execute All GC Jobs - Multiple Device*, `platform=RouterOS`, täglich 03:30 UTC,
-Reihenfolge Backup→Intended→Compliance). Wenn `backup_last_success_date` eines Geräts alt ist: zuerst
-prüfen, ob der ScheduledJob noch `enabled` ist (`/api/extras/scheduled-jobs/`), nicht das Gerät verdächtigen.
-
-## 2026-09-12 — claude.json-Secrets laufen über `{env:}` (TP35 Schicht 2 ✅)
-**Betrifft:** alle, die `~/.claude.json` oder `~/.secrets/exports.zsh` anfassen.
-**Aktion:** Keine Klartext-Secrets mehr in `~/.claude.json` — MCP-Credentials referenzieren jetzt
-`{env:MCP_*}` (dieselben Namen wie `opencode.jsonc`, bidirektional kompatibel). SSoT ist
-`~/.secrets/exports.zsh` (25 Vars). Nach jeder Änderung dort: `~/dev/.bin/gui-env-sync.sh`
-**und App-Neustart** (laufender Prozess erbt die launchd-Umgebung nicht). ⚠ `~/.claude.json` nie aus
-einer **laufenden** Session editieren — Claude Code schreibt dort State, der Edit würde überschrieben;
-der Flip läuft bei beendeter App über `~/dev/.bin/schicht2-claude-json-migrate.py --apply-claude`.
-
-## 2026-09-12 — TP36-Live: Gerätedaten stehen als CustomFields in Nautobot
-**Betrifft:** alle, die Geräte-Ist-Werte (RouterOS-Version, Compliance %, DHCP-Server-Zahl,
-DNS-Modus, Mgmt-IP) brauchen.
-**Aktion:** Nicht mehr aus der Prosa ablesen und nicht raten — die fünf Felder (`grouping: TP36-Live`)
-hängen an den 5 RouterOS-`dcim.Device` in Nautobot. Aktualisieren: `python3 nautobot/gc-snapshot.py
--commit` (liest nur aus Nautobot/GC, kontaktiert kein Gerät). Die Werte sind so aktuell wie das
-letzte Golden-Config-Backup (`backup_last_success_date` am Gerät).
-
-## 2026-09-07 — SSoT-Cutover: Index/Status = Gitea, NICHT mehr teilprojekte.md
-**Betrifft:** jede Session, die einen TP-Status ändert, anlegt oder abschließt.
-**Aktion:** Status/Reihenfolge/„was lief zuletzt" gehen ins **Gitea-Issue**
-([`admin/bf-infra`](https://gitea.emsenhuber.net/admin/bf-infra/issues), Labels `status:*`/`thema:*`),
-**nicht** in eine Tabelle in `docs/teilprojekte.md`. Die Datei trägt nur noch die `### TPnn`-Prosa.
-`/projektstatus` liest Baum + Status aus der Gitea-API. Branch `tpNN-kurz` jederzeit möglich, Merge
-nach `main`, sobald Code/Config steht.
--- a/docs/handoff-20260912-tp25-ap2-messung-blockiert.md
+++ b/docs/handoff-20260912-tp25-ap2-messung-blockiert.md
@@ -0,0 +1,65 @@
+# Handoff 2026-09-12 — TP25 „ap2 unterperformt": Messung blockiert (kein Manager-Zugriff)
+
+**Kurz:** Die ap2-In-situ-Frage (2 m/−80 dBm) konnte **nicht** gemessen werden. Grund ist **kein**
+WLAN-/Gerätedefekt, sondern ein **fehlender Management-Pfad zum Manager `crs326-core`** von den
+verfügbaren Vantage-Points. Auf Christophs Entscheidung **vertagt**, kein Geräte-Write, SPOF nicht
+angefasst.
+
+## Bestandsaufnahme (erledigt)
+
+- Gitea #17 (TP25) = nur Zeiger, `status:wip`, Prosa im Repo. SSoT bestätigt.
+- Prosa `docs/teilprojekte.md` ab Zeile 1081 + Archiv-Langfassung gelesen.
+- Handoffs `20260902-fund-e` (Fund E geschlossen, 7.24.1 war die Ursache) und
+  `20260903-kanalplan` (Kanalplan live, In-situ-Messung als einziger Rest offen) gelesen.
+- **Einziger offener TP25-Punkt bleibt: ap2 unterperformt.**
+
+## Warum die Messung blockiert ist (live verifiziert, nicht geraten)
+
+Registration-Table/Scan liegen unter CAPsMAN **nur am Manager** (`crs326-core`). Dieser ist von
+beiden Messpunkten nicht erreichbar:
+
+**Vantage 1 — diese Session (Mac am dw-Standort):**
+- Default-GW `fritz.box` 10.95.10.1 → BF nur über **WG-Tunnel**; **Cloudflare WARP aktiv** (lief).
+- **ICMP zu ganz BF ok** (ap2, NAS, Nautobot, core — alle ~32 ms, 0 % Loss).
+- **Direktes TCP nach BF tot**: VLAN20-Hosts (NAS:22, Nautobot:8080, pve:8006) → `connect`
+  kommt nie zustande (`connect=0.000`, `http=000`). MikroTik-Ports schienen bei `nc -z` „offen",
+  aber jeder echte Handshake (SSH-kex, REST, HTTPS) wird **resettet** → das waren
+  **WARP-lokale nc-Fehlmeldungen** (CLAUDE.md-Gotcha: `nc -z` falsch-positiv/-negativ).
+- ⇒ Von hier existiert **kein** TCP-Management-Pfad in BF. Der Pfad trägt gerade nur ICMP.
+  Passt zum WARP-/Tunnel-Muster (WARP = QUIC-Proxy, kein ICMP; hier umgekehrt: nur ICMP kommt durch).
+
+**Vantage 2 — mikromcp (DS923, im BF-LAN, kein WARP):**
+- `check_router_health` core → **Connect Timeout :80** (~10,5 s).
+- ap1/ap2 → **`other side closed` / `ECONNRESET`** (TCP an, Handshake zu).
+- `run_command` core → `Timed out waiting for handshake`; ap2 → `Connection lost before handshake`.
+- ⇒ Auch der on-LAN-Pfad erreicht die Flotte nicht. Mögliche Ursachen (von hier **nicht** trennbar,
+  daher nicht entschieden): VLAN20-Firewall auf :80 (mgmt-input nur VLAN10/HA:8728/Nautobot:22/cf-mesh),
+  mikromcp-Host-Netzproblem auf der DS923, oder real.
+
+**Wichtig:** Der Core ist **nicht** nachweislich defekt — ICMP + Routing sind gesund. Der Defekt liegt
+im Zugangspfad, nicht (belegbar) am Gerät.
+
+## Nebenbefund: Doku-Drift ap2-Kanal (nicht verifizierbar mangels Manager-Zugriff)
+
+- CLAUDE.md + `teilprojekte.md`-Langfassung: ap2 = **ch44 / 5220** (2,4 GHz ch11).
+- Handoff 09-03: ap2 = **5300/5320** (ch60/64, DFS Band B) + ch11.
+- Was **live** läuft, ist offen. Beim nächsten Manager-Zugriff via
+  `/interface wifi radio print` (Frequenz je Radio) klären und die Doku angleichen.
+
+## Nächste Session — was zu tun ist
+
+1. **Sauberen Pfad herstellen** (Christophs Wahl, offen): WARP trennen + retest, ODER aus einer
+   **BF-LAN-Session** (macmini) messen, ODER zuerst **mikromcp/DS923-Erreichbarkeit** zur Flotte klären.
+2. Sobald Manager erreichbar, der Messplan aus Handoff 09-03 §„Aufstellorts-Messplan":
+   - `/interface wifi radio print terse proplist=cap,radio-mac,interface` (Karten-Snapshot; wandert bei Rejoin).
+   - `/interface wifi radio print` → aktuelle Frequenz/TX je Radio (ap2 ch prüfen, Doku-Drift oben).
+   - `/interface wifi registration-table print terse where ssid=dirtyvader-main` → Signal/Rate der ap2-Clients.
+   - `/interface wifi scan cap-wifiN duration=…` **am Manager** → 5-GHz-Umfeld an ap2 (Wiederholung des 08-24-Scans).
+   - Ziel: −80 dBm@2 m einordnen (Platzierung/Antenne/TX vs. Kanal-Umfeld), mit Zahlen.
+3. **Gotchas** (CLAUDE.md/09-03): scan/registration-table nur am Manager · `list_wifi_interfaces`
+   leakt PSKs (nicht benutzen) · `cap-wifiN`-Karte wandert · vor Client-Diagnose `uptime`+`grep " caps,"`.
+
+## Grenze eingehalten
+
+Kein Geräte-Write. Core (SPOF) nicht angefasst. WARP nicht getrennt (Christophs Client). Doku-Drift
+dokumentiert statt stillschweigend „korrigiert".
--- a/docs/handoff-20260913-cf-api-token-rolled.md
+++ b/docs/handoff-20260913-cf-api-token-rolled.md
@@ -1,28 +0,0 @@
-# Handoff 2026-09-13 — CF_API_TOKEN gerollt (Gitea bf-infra #69)
-
-## Was passiert ist
-
-`CF_API_TOKEN` (id `493ed8bd…`, konsolidiert) war nach TP41 tot (Fehler `1000` an allen drei
-Fundorten). Statt eines separaten railplanner-Tokens wurde das konsolidierte Token am 2026-09-13
-im CF-Dashboard **gerollt** (neuer Wert, gleicher Scope). Workers-Scope verifiziert:
-`GET /accounts/{id}/workers/scripts` listet `railplanner` / `blaueblueten-n8n` / `terpene`.
-
-## Drift behoben
-
-Der neue Wert lag zunächst nur in `credentials.env`. Realignt auf identischen Wert in:
-
- `~/.secrets/exports.zsh` (SSoT) — vorher gar kein `CF_API_TOKEN`
- `~/.secrets/credentials.env`
- `bf-infra/mcp/cloudflare/.env` (vorher `…4148`)
- `bf-network-r6/mcp/cloudflare/.env` (vorher `…2174`)
-
-## Gotcha (hat die Session zweimal „Token kaputt" fehldeuten lassen)
-
-Account-owned Tokens verifizieren an `GET /accounts/{account_id}/tokens/verify` — am alten
-`/user/tokens/verify` liefern sie `1000 "Invalid API Token"`, **obwohl gültig**. Siehe
-`docs/tp16.1-warp-mesh-native-crs326.md:164` und `docs/teilprojekte-archiv.md:830`.
-Ins Memory notiert (`reference_cf_account_token_verify.md`).
-
-## Status
-
-Gitea #69 `closed` (`status:done`). Kein Repo-Code geändert — alles Secret-Store + Gitea-Status.
--- a/docs/teilprojekte.md
+++ b/docs/teilprojekte.md
@@ -974,28 +974,7 @@ des Dimmers (= Lichtausfall in Diele UG/Wohnzimmer) wurde daraufhin **nicht** au
 - **Verwandt/Abgrenzung:** vw ist auch in **TP16** offen (CF-Access: `bypass`→WARP-geschützt) — **DB-HA ≠ Access**, getrennt behandeln. Reziprokes 2-Site-Muster analog **TP16**/**TP18**.
 - Abh.: **TP20** (Tier-1 Postgres muss stehen), **TP10** (WG-Transport für Phase-2), **TP18** (Backup-Schirm). Kein Blocker für TP21.

-### TP23 — DNS-Policy & Self-Service-Ausnahmen ▸ ⏳ **STUFE 5 WIEDER OFFEN (Redesign 2026-09-12): Self-Service deckt die DAU-Requirements nicht ab → Stufe 6 bleibt dahinter gated**
-> 🔴 **Redesign 2026-09-12 — Stufe 5 reopened.** Bei „Stufe 6 angehen" fiel auf: die 09-04-Stufe-5
-> (single-domain, temp-only 15m/1h/4h, **eine** Ausnahme gleichzeitig, **HA-Neustart bei neuer
-> Domain**, `allow-domain` global statt pro Person) deckt die Nutzer-Requirements **nicht** ab
-> („funktional ein kastriertes Pi-hole", User). Die harte Reihenfolge-Regel „erst der Ersatz, dann
-> die Sperre" ist damit real **nicht** erfüllt → **Stufe 6 darf nicht laufen**, bis der neue
-> Self-Service nachweislich trägt.
-> - **Neue Requirements (User 2026-09-12):** (1) **pro Person** (Login), Sicht über alle Geräte;
->   (2) **„zuletzt geblockt" → 1 Klick**; (3) temporär **und** dauerhaft, Modus umschaltbar
->   (self-permanent ⇄ Anfrage, Start self-permanent); (4) **scoped HA-Dashboard** je Person —
->   nichts von anderen/Admin/Power-User, AGH-Web-UI bleibt reines Admin-Werkzeug.
-> - **Design/Bau:** Personen-Client je AGH (SSoT Person→Gerät), Ausnahmen via `$client=`-Modifier,
->   `agh-exception.py` um scoped `allow/unallow` + `list-exceptions` + `recent-blocked` erweitert
->   (reine Logik netzunabhängig getestet, `selftest` ✅). HA-Dashboard/Sensoren/Modus-Switch als
->   Bau-Spec in [`adguard/ha-self-service.md`](../adguard/ha-self-service.md) (on-network zu bauen).
-> - 🔴 **Load-bearing, on-network zu prüfen:** wirkt AGH `$client=` auf **Allow**-Regeln (`@@`)?
->   Fallback = IP-Liste statt Client-Name (Code kann beides). Plan:
->   `~/.claude/plans/tp23-stufe-6-angehen-soft-sunrise.md`.
-> - **Neue echte Stufe-6-Vorbedingung:** End-to-End-Abnahme mit echtem Nicht-Admin-Flow.
-> - **Stufe-6-Runbook-Korrektur:** Core `10.40.X.1` in der Allowlist überdenken (Client-Gateway →
->   DoH direkt zu CF = interner Bypass der AGH-Personen-Policy).
-
+### TP23 — DNS-Policy & Self-Service-Ausnahmen ▸ ⏳ **STUFE 1–5 DURCH (2026-09-04); offen nur Stufe 6 (Bypass-Sperre, in TP5)**
 > 🟢 **Update 2026-09-04 — Stufe 4 + 5 gebaut, live verifiziert. Der `.16`-Text unten ist überholt**
 > (Stufe 2 lebt seit 08-26 auf dem Paar `agh-bf1`/`agh-bf2` = `.36`/`.37`, LXC 110/111 — s. Ist-Stand-Block):
 > - **Stufe 4 (CIDR-Substrat):** 7 VLAN-Gruppen + `dns-bypass-exempt` in `clients.persistent` auf beiden
@@ -2375,15 +2354,15 @@ kann in Ruhe nachziehen.

 ---

-### TP35 — MCP-Schichtung global/projekt/user + 3-Schicht-CLAUDE.md + Announcement-Mechanismus + Backup-Guard ▸ ✅ **ABGESCHLOSSEN 2026-09-12** — 5/6 Schichten durch (MCP-Schichtung FQDN→IP, Credentials-`{env:}`-Flip angewandt+verifiziert, globale CLAUDE.md-Schicht, `/news`, Backup-Guard, `/projektstatus`-Skill). Schicht-3-**pro-Projekt**-Rollout laut Abgrenzung eigene Session je Projekt (kein Blocker). Einziger Rest = On-Network-mikromcp-Smoketest (off-site nicht machbar, VLAN99:80 timeout, non-blocking) → als Merkposten nach TP30. Gitea #25 closed/`status:done`.
+### TP35 — MCP-Schichtung global/projekt/user + 3-Schicht-CLAUDE.md + Announcement-Mechanismus + Backup-Guard ▸ ⏳ **ANGELEGT 2026-08-28, Schicht 1 (FQDN→IP) + Schicht 3 (globale Regeln) + Schicht 6 (Skill) ✅**
 - **Auslöser:** Bestandsaufnahme Session 2026-08-28 (Handoff `docs/handoff-20260828-pre-opencode-migration.md`). Erkenntnis: MCP-Configs sind heute über `~/.config/opencode/opencode.jsonc` UND `~/.claude.json` verstreut, ohne klares Schema.
 - **Befund (geprüft):** 11/12 Backups im Verzeichnis `~/dev/.pre-opencode-migration-backups/20260828-150335/` gzip-valid; `uwe-job-bewerbung.tar.gz` korrupt (Source unverändert da). Repos und globale Configs md5-/HEAD-identisch zum Vor-Session-Stand. Synology-Drive-Sync aktiv (Anwender, manuell).
 - **Scope:**
  1. **MCP-Schichtung** (global/projekt/user) — wo lebt welche MCP-Definition, wie wird sie aufgelöst, wie bleibt sie synchron, wenn ein Projekt physisch auf einen anderen Host umzieht. **✅ 2026-08-29 (Teilschritt):** `gitea-mcp` + `n8n-mcp` in der globalen `opencode.jsonc` von CF-FQDN auf LAN-IP migriert (s. Ist-Stand-Block). `cloudflare`-MCP bleibt FQDN (User-Direktive).
-  2. **Credentials-Schichtung** — alle Secrets in `~/.secrets/exports.zsh`, MCP-Configs ausschließlich `{env:...}`. Schließt TP30 Posten #1 ab. **✅ 2026-09-12 angewandt:** `exports.zsh` um die 3 fehlenden `MCP_MIKROMCP_{ROUTER_AP3,CRS326_CORE,CRS326_BRANCH}_PASS` ergänzt (jetzt 25 Vars, die opencode schon referenzierte — vorher liefen die dort leer), `gui-env-sync` gelaufen (25/25 in launchd-Env). `~/.claude.json` via `~/dev/.bin/schicht2-claude-json-migrate.py --apply-claude` (bei beendeter App, Backup `.bak-20260912-*`) geflippt — **alle 7 Secrets** (`mikromcp` 5× PASS, `hostinger-api` Token, `n8n-mcp` Bearer) jetzt `{env:}`, verifiziert; App neu gestartet, MCP-Server laden sauber. 🔴 **Merkregel:** `~/.claude.json` nie aus laufender Session editieren (Claude Code schreibt dort State → überschreibt). Restcheck offen: **authentifizierter** mikromcp-Read **on-network** (am 09-12 Connect-Timeout VLAN99:80 = Erreichbarkeit vom Standort, kein Auth-Fehler). Rollback = `.bak` zurück.
+  2. **Credentials-Schichtung** — alle Secrets in `~/.secrets/exports.zsh`, MCP-Configs ausschließlich `{env:...}`. Schließt TP30 Posten #1 ab.
  3. **3-Schicht-CLAUDE.md** — `CLAUDE.md` (öffentlich) / `CLAUDE.local.md` (gitignored) / `~/.claude/CLAUDE.md` (global). **✅ 2026-08-29 (globale Schicht):** `~/.config/opencode/AGENTS.md` als SSoT angelegt (Secrets + VLAN-Schema + 5 Lessons + SoC + Übergabe-Mechanik + Mid-Action + Commit-Hinweis + Backup-Guard); `~/.claude/CLAUDE.md` hält denselben Block als Spiegel. **Offen:** die pro-Projekt-Schicht (`CLAUDE.md`/`CLAUDE.local.md` + Handover-Posts) — eigene Sessions.
-  4. **Announcement-Mechanismus (Hybrid)** — zentraler Ort + Skill zum Einlesen beim Session-Start. **✅ 2026-09-12:** `docs/announcements.md` angelegt (Format: `## YYYY-MM-DD — Titel` + `Betrifft:`/`Aktion:`, neueste oben) + globaler Skill **`/news`** (in beiden Skill-Pfaden `~/.claude/skills/news/` **und** `~/.config/opencode/skills/news/`, `cp` kein Symlink — Schicht-6-Lehre). `/news` zeigt Einträge, die seit dem letzten Lauf dazukamen (Seen-State pro Repo unter `~/.news-seen/`). Erste Einträge: SSoT-Cutover (TP36) + TP36-Live.
-  5. **Backup-Guard** — `~/dev/.bin/backup-guard.sh`, Pre-Commit-Hook pro Projekt, „3 Tage aktiv"-Definition: 5 Commits oder 1000 LOC diff. **✅ 2026-09-12 abgenommen:** Guard (112 Z., `check`/`mark`/`status`) + `.git/hooks/pre-commit` in `bf-infra` live verdrahtet; der Hook hat beim TP36-Live-Commit real gegriffen („Projekt aktiv 12 Commits/198 LOC, Backup markiert"). ⚠️ **Bekannte Grenze:** `check` prüft nur *Existenz* der Guard-Datei, nicht deren Alter — ein alter `mark` (hier 2026-08-29) lässt den Commit durch. Das ist als Push-Erinnerung gewollt, keine Frische-Garantie.
+  4. **Announcement-Mechanismus (Hybrid)** — zentraler Ort (voraussichtlich `bf-infra/docs/announcements.md`) + Skill `/news` oder `/announce` zum Einlesen beim Session-Start. Initial: Breaking News über die MCP-Schichtung selbst.
+  5. **Backup-Guard** — `~/dev/.bin/backup-guard.sh`, Pre-Commit-Hook pro Projekt, „3 Tage aktiv"-Definition: 5 Commits oder 1000 LOC diff.
  6. **`/projektstatus`-Skill global** — als Erstes, vor den anderen Schichten. Alle Projekte verwenden dasselbe Skill. **✅ 2026-08-28:** `/projektstatus`-Skill nach `~/.config/opencode/skills/projektstatus/SKILL.md` kopiert (`cp`, nicht `ln -s`) — opencode scannt diesen Default-Pfad, kein `skills.paths`-Eintrag in der JSONC nötig. Lehre im CLAUDE.md-Lessons-Block.
 - **Abgrenzung:** TP35 ist Konzept + Schichtung, nicht die Umsetzung. Pro Projekt eigene Session, eigener Handover-Post, eigene Mini-Anpassung.
 - **Verzahnt mit:** TP30 (Credentials), TP34 (Repository-Pattern), TP22 (Nautobot-GC als Vorbild für SSoT + Compliance), TP11 (Monitoring).
--- a/nautobot/gc-snapshot.py
+++ b/nautobot/gc-snapshot.py
@@ -1,199 +0,0 @@
-#!/usr/bin/env python3
-"""
-TP36-Live — Live-Gerätedaten als CustomFields auf den RouterOS-dcim.Device.
-
-Legt (idempotent, get-or-create) fünf CustomFields auf `dcim.device` an und
-befüllt sie für jedes RouterOS-Gerät. Die Werte kommen AUSSCHLIESSLICH aus
-Nautobot selbst — es wird KEIN Gerät kontaktiert:
-
-  ros_version         aus der GoldenConfig-`backup_config` ("by RouterOS X.Y.Z")
-  dhcp_server_count   gezählte Einträge der Sektion "/ip dhcp-server" im Backup
-  dns_upstream_mode   aus der "/ip dns"-Sektion des Backups: doh | plain | none
-  compliance_pct      GC config-compliance: compliant / total * 100 (gerundet)
-  mgmt_ip             device.primary_ip4 (ohne /prefix)
-
-Warum aus Nautobot statt live vom Gerät: der MGMT-/REST-Weg (VLAN99:80) ist
-nicht aus jedem Vantage erreichbar; die GC-Backups werden täglich (03:30 UTC,
-ScheduledJob "GC Backup+Compliance – taeglich") per SSH gezogen und sind die
-Doku-SSoT. Damit braucht der Snapshot keine Geräte-Credentials. Aktualität steht
-in `backup_last_success_date` — ist die alt, steht der Backup-Schedule (2026-09-12
-war er 8 Tage aus, weil es vorher gar keinen gab).
-
-Der Backup-Config-Text wird nur INTERN geparst (Zähler/Modus abgeleitet) und
-NIE ausgegeben — er kann gescrubte Reste enthalten (PSK-Leak-Regel).
-
-Token-Quelle: docs/nas-vlan20/stacks/210-nautobot.yml (gitignored),
-Schlüssel NAUTOBOT_SUPERUSER_API_TOKEN.
-
-Aufruf:
-  python3 nautobot/gc-snapshot.py            # Dry-Run (default) — zeigt nur an
-  python3 nautobot/gc-snapshot.py --commit   # legt CustomFields an + patcht Devices
-"""
-import json
-import os
-import re
-import sys
-import urllib.request
-import urllib.parse
-import urllib.error
-from pathlib import Path
-
-NB = os.environ.get("NAUTOBOT_URL", "http://10.40.20.30:8080")
-REPO = Path(__file__).resolve().parent.parent
-YML = REPO / "docs" / "nas-vlan20" / "stacks" / "210-nautobot.yml"
-COMMIT = "--commit" in sys.argv
-
-
-def load_token() -> str:
-    for line in YML.read_text().splitlines():
-        m = re.search(r"NAUTOBOT_SUPERUSER_API_TOKEN[=:]\s*([^\s\"']+)", line)
-        if m:
-            return m.group(1)
-    sys.exit(f"NAUTOBOT_SUPERUSER_API_TOKEN nicht in {YML} gefunden")
-
-
-TOKEN = load_token()
-HDRS = {"Authorization": f"Token {TOKEN}", "Accept": "application/json",
-        "Content-Type": "application/json"}
-
-
-def req(method: str, path: str, body=None):
-    data = json.dumps(body).encode() if body is not None else None
-    r = urllib.request.Request(f"{NB}{path}", data=data, headers=HDRS, method=method)
-    try:
-        with urllib.request.urlopen(r, timeout=20) as resp:
-            return resp.status, json.loads(resp.read().decode() or "{}")
-    except urllib.error.HTTPError as e:
-        return e.code, json.loads(e.read().decode() or "{}")
-
-
-# --------------------------------------------------------------- CustomFields
-# (key, label, type, description). content_types wird ergänzt.
-CUSTOM_FIELDS = [
-    ("ros_version", "RouterOS-Version", "text",
-     "RouterOS-Version aus der GC-backup_config (by RouterOS …)."),
-    ("compliance_pct", "GC-Compliance %", "integer",
-     "Golden-Config config-compliance: compliant/total in Prozent."),
-    ("dhcp_server_count", "DHCP-Server", "integer",
-     "Anzahl Einträge der Sektion /ip dhcp-server im GC-Backup."),
-    ("mgmt_ip", "Mgmt-IP", "text",
-     "device.primary_ip4 ohne Prefix (VLAN99-Management)."),
-    ("dns_upstream_mode", "DNS-Upstream-Modus", "text",
-     "Aus /ip dns des GC-Backups: doh | plain | none."),
-]
-CF_KEYS = [c[0] for c in CUSTOM_FIELDS]
-
-
-def ensure_custom_fields():
-    """get-or-create die fünf CFs; bei Bestand: content_type dcim.device sicherstellen."""
-    st, d = req("GET", "/api/extras/custom-fields/?limit=0")
-    have = {r["key"]: r for r in d.get("results", [])}
-    for key, label, typ, desc in CUSTOM_FIELDS:
-        ex = have.get(key)
-        if ex:
-            cts = ex.get("content_types", [])
-            ok = "dcim.device" in cts
-            print(f"  = CF '{key}' existiert ({ex['id']}){'' if ok else '  ⚠ ohne dcim.device!'}")
-            if not ok and COMMIT:
-                req("PATCH", f"/api/extras/custom-fields/{ex['id']}/",
-                    {"content_types": sorted(set(cts) | {"dcim.device"})})
-                print(f"    + dcim.device ergänzt")
-            continue
-        payload = {"key": key, "label": label, "type": typ, "description": desc,
-                   "content_types": ["dcim.device"], "grouping": "TP36-Live",
-                   "required": False}
-        if not COMMIT:
-            print(f"  + CF '{key}' ({typ})  [DRY-RUN]")
-            continue
-        st, r = req("POST", "/api/extras/custom-fields/", payload)
-        print(f"  {'+' if st in (200,201) else '!'} CF '{key}'"
-              + (f" angelegt ({r.get('id')})" if st in (200, 201)
-                 else f" FEHLER {st}: {json.dumps(r)[:200]}"))
-
-
-# --------------------------------------------------------------- Backup-Parser
-def parse_backup(cfg: str):
-    """Werte aus dem flachen RouterOS-Export (eine '/…'-Zeile pro Kommando)."""
-    ver = ""
-    m = re.search(r"by RouterOS ([0-9][0-9A-Za-z.\-]*)", cfg)
-    if m:
-        ver = m.group(1)
-    # DHCP-Server = Zeilen '/ip dhcp-server add …' (NICHT lease/network/option)
-    dhcp = len(re.findall(r"(?m)^\s*/ip dhcp-server add\b", cfg))
-    # DNS-Modus aus der '/ip dns set …'-Zeile
-    mode = "none"
-    md = re.search(r"(?m)^\s*/ip dns set\b.*", cfg)
-    if md:
-        line = md.group(0)
-        doh = re.search(r"use-doh-server=([^\s]+)", line)
-        srv = re.search(r"\bservers=([^\s]+)", line)
-        if doh and doh.group(1) not in ("", '""'):
-            mode = "doh"
-        elif srv and srv.group(1) not in ("", '""'):
-            mode = "plain"
-    return ver, dhcp, mode
-
-
-def compliance_pct(device_name: str):
-    q = urllib.parse.urlencode({"device": device_name, "limit": 0, "depth": 0})
-    st, d = req("GET", f"/api/plugins/golden-config/config-compliance/?{q}")
-    rows = d.get("results", [])
-    if not rows:
-        return None
-    ok = sum(1 for r in rows if r.get("compliance"))
-    return round(ok / len(rows) * 100)
-
-
-# ---------------------------------------------------------------------- main
-def routeros_devices():
-    q = urllib.parse.urlencode({"limit": 0, "depth": 1, "platform": "RouterOS"})
-    st, d = req("GET", f"/api/dcim/devices/?{q}")
-    devs = []
-    for r in d.get("results", []):
-        ip = r.get("primary_ip4")
-        ip = ip.get("address") if isinstance(ip, dict) else ip
-        if not ip:
-            continue  # tote Altgeräte (cudy/sw) ohne IP überspringen
-        devs.append((r["id"], r["name"], ip.split("/")[0]))
-    return sorted(devs, key=lambda x: x[1])
-
-
-def main():
-    print(f"== TP36-Live gc-snapshot  ({'COMMIT' if COMMIT else 'DRY-RUN'})  @ {NB} ==")
-
-    print("\n[1] CustomFields sicherstellen")
-    ensure_custom_fields()
-
-    print("\n[2] Golden-Config-Backups laden")
-    st, gc = req("GET", "/api/plugins/golden-config/golden-config/?depth=1&limit=0")
-    backups = {}
-    for r in gc.get("results", []):
-        dev = r.get("device")
-        dev = dev.get("name") if isinstance(dev, dict) else dev
-        backups[dev] = (r.get("backup_config") or "", r.get("backup_last_success_date") or "?")
-
-    print("\n[3] Snapshot je Gerät")
-    print(f"    {'Gerät':16} {'ros':9} {'cmpl%':>5} {'dhcp':>4} {'dns':6} {'mgmt-ip':15} backup")
-    for dev_id, name, mgmt in routeros_devices():
-        cfg, when = backups.get(name, ("", "—"))
-        ver, dhcp, dns = parse_backup(cfg) if cfg else ("?", 0, "?")
-        pct = compliance_pct(name)
-        vals = {
-            "ros_version": ver or None,
-            "compliance_pct": pct,
-            "dhcp_server_count": dhcp,
-            "mgmt_ip": mgmt,
-            "dns_upstream_mode": dns,
-        }
-        pct_s = "—" if pct is None else str(pct)
-        print(f"    {name:16} {ver or '?':9} {pct_s:>5} {dhcp:>4} {dns:6} {mgmt:15} {when[:10]}")
-        if COMMIT:
-            st, r = req("PATCH", f"/api/dcim/devices/{dev_id}/", {"custom_fields": vals})
-            if st not in (200, 201):
-                print(f"      ! PATCH FEHLER {st}: {json.dumps(r)[:200]}")
-
-    print(f"\n== fertig ({'COMMIT — geschrieben' if COMMIT else 'DRY-RUN — nichts geschrieben'}) ==")
-
-
-if __name__ == "__main__":
-    main()
--- a/opencode.json
+++ b/opencode.json
@@ -1,75 +0,0 @@
-{
-  "mcp": {
-    "home-assistant": {
-      "type": "remote",
-      "url": "{env:MCP_HOME_ASSISTANT_URL}",
-      "enabled": false
-    },
-    "hostinger-api": {
-      "type": "local",
-      "command": [
-        "npx",
-        "-y",
-        "hostinger-api-mcp"
-      ],
-      "environment": {
-        "HOSTINGER_API_TOKEN": "{env:MCP_HOSTINGER_API_TOKEN}"
-      },
-      "enabled": false
-    },
-    "mikromcp": {
-      "type": "local",
-      "command": [
-        "npx",
-        "-y",
-        "mikromcp",
-        "serve"
-      ],
-      "environment": {
-        "MIKROMCP_CONFIG_PATH": "/Users/christophemsenhuber/dev/bf-infra/mcp/mikromcp/config/routers.yaml",
-        "MIKROMCP_DEFAULT_ROUTER": "crs326-core",
-        "ROUTER_AP1_USER": "admin",
-        "ROUTER_AP2_USER": "admin",
-        "ROUTER_AP3_USER": "admin",
-        "CRS326_CORE_USER": "admin",
-        "CRS326_BRANCH_USER": "admin",
-        "ROUTER_AP1_PASS": "{env:MCP_MIKROMCP_ROUTER_AP1_PASS}",
-        "ROUTER_AP2_PASS": "{env:MCP_MIKROMCP_ROUTER_AP2_PASS}",
-        "ROUTER_AP3_PASS": "{env:MCP_MIKROMCP_ROUTER_AP3_PASS}",
-        "CRS326_CORE_PASS": "{env:MCP_MIKROMCP_CRS326_CORE_PASS}",
-        "CRS326_BRANCH_PASS": "{env:MCP_MIKROMCP_CRS326_BRANCH_PASS}"
-      },
-      "enabled": false
-    },
-    "cloudflare": {
-      "type": "remote",
-      "url": "https://mcp.cloudflare.com/mcp",
-      "enabled": true
-    },
-    "ollama": {
-      "type": "local",
-      "command": [
-        "npx",
-        "-y",
-        "ollama-mcp"
-      ],
-      "environment": {
-        "OLLAMA_HOST": "http://127.0.0.1:11434"
-      },
-      "enabled": false
-    },
-    "pve-mcp": {
-      "type": "remote",
-      "url": "http://10.40.20.173:3000/",
-      "enabled": true
-    },
-    "n8n-mcp": {
-      "type": "remote",
-      "url": "http://10.40.20.167:3001/mcp",
-      "headers": {
-        "Authorization": "Bearer {env:N8N_MCP_BEARER}"
-      },
-      "enabled": true
-    }
-  }
-}